PamStealer trên macOS dùng giải mã C2 trực tiếp và cơ chế bền bỉ nhiều lớp
"Researchers reported a new PamStealer macOS malware variant that uses a live server-side decryption chain and X25519 key exchange to recover its payload, preventing static extraction without C2 cooperation. The updated infection flow uses a fake Wavel cryptocurrency wallet site, a JXA/AppleScript-to-zsh dropper, and multiple persistence mechanisms, while the final Swift stealer targets passwords, keychain items, browser credentials, system metadata, and user files."
Đe dọa ở mức cao vì payload chỉ giải mã khi có C2, làm khó phân tích và phát hiện sớm; đồng thời có nhiều cơ chế persistence để duy trì hiện diện trên máy.
Có thể dẫn tới rò rỉ thông tin đăng nhập, gián đoạn điều tra sự cố và tăng chi phí xử lý; rủi ro cao hơn với môi trường dùng macOS và công cụ phát triển có git hooks.
Các nhà nghiên cứu an ninh ghi nhận một biến thể mới của PamStealer trên macOS với cách triển khai tinh vi hơn, trong đó payload chỉ có thể được giải mã khi có tương tác với C2. Theo Jamf Threat Labs, chuỗi tấn công vẫn bắt đầu bằng JXA/AppleScript nhưng đã thay đổi mồi nhử và cách phát tán để khó phân tích tĩnh hơn.
Mẫu mới dụ nạn nhân qua website giả mạo Wavel tại wavel[.]app, quảng cáo một dịch vụ ví tiền mã hóa không tồn tại. Khi người dùng tải Wavel.dmg và mở tệp, một script sẽ chuyển dữ liệu đã mã hóa sang /bin/zsh, sau đó tải công cụ pkgunpack từ wavel.apple03cloudstore[.]com để thực hiện X25519 key exchange và giải mã gói tải xuống.
Chuỗi lây nhiễm này còn thiết lập nhiều cơ chế persistence như LaunchAgent, script sửa chữa, hook trong ~/.zshrc và cấu hình git hooks để tự khôi phục khi bị xóa. Ở giai đoạn cuối, thành phần đánh cắp dữ liệu viết bằng Swift nhắm tới mật khẩu hệ thống, Keychain, thông tin đăng nhập trình duyệt, dữ liệu hệ thống và các tệp người dùng.
Khuyến nghị: kiểm tra các LaunchAgent, git hooks, tệp trong ~/Library/Application Support/System/.githooks/, và giám sát tải xuống từ miền lạ; đồng thời hạn chế cài đặt ứng dụng ngoài nguồn tin cậy và rà soát quyền truy cập Keychain.