PamStealer: mã độc macOS đánh cắp thông tin dùng chuỗi thực thi “lặng” và xác thực mật khẩu qua PAM
"Researchers identified PamStealer, a previously unseen macOS infostealer delivered in two stages via a disk image and AppleScript lure disguised as Maccy. The malware uses a self-contained JXA downloader, a Rust-based second stage, and local PAM-based password validation to steal credentials and other data while evading detection; no CVE was reported, and the article does not describe a patch or vendor fix."
Tác động chủ yếu là đánh cắp credential và mở rộng quyền truy cập thông qua Full Disk Access; chuỗi thực thi “lặng” giúp giảm khả năng phát hiện. Điểm then chốt: xác thực mật khẩu cục bộ qua PAM và giả dạng Maccy bằng disk image + AppleScript.
Nguy cơ ảnh hưởng vận hành gồm mất tài khoản, rò rỉ dữ liệu và khả năng mở rộng truy cập hệ thống khi người dùng cấp quyền. Điểm then chốt: mất mật khẩu và yêu cầu quyền Full Disk Access có thể làm tăng phạm vi sự cố.
Các nhà nghiên cứu đã phát hiện PamStealer, một mã độc macOS mới, được thiết kế để đánh cắp thông tin đăng nhập và dữ liệu từ máy nạn nhân. Mã độc được phân phối theo hai giai đoạn: giai đoạn một là một disk image giả dạng Maccy (trình quản lý clipboard), kèm AppleScript mồi nhử; giai đoạn hai là một thành phần tải xuống và thực thi tiếp theo.
Điểm đáng chú ý nằm ở chuỗi thực thi “lặng”: khi người dùng mở file trong Script Editor, AppleScript không gọi trực tiếp các lệnh phổ biến mà chạy một JXA downloader tự chứa, sử dụng API gốc. Sau đó, giai đoạn hai được viết bằng Rust và có khả năng đọc dữ liệu từ SQLite thông qua giao diện read của ứng dụng được đóng gói.
PamStealer còn triển khai cơ chế xác thực mật khẩu cục bộ bằng PAM (Pluggable Authentication Modules). Mã độc hiển thị prompt có nội dung kiểu “Maccy wants to make changes…”, và chỉ khi mật khẩu hợp lệ (xác thực qua PAM, không cần gọi các công cụ/tiến trình phụ trợ) thì mới tiếp tục. Nếu sai, nó lặp lại prompt; nếu đúng, hiển thị thông báo “file is damaged” như một lớp decoy. Mã độc cũng yêu cầu Full Disk Access cho ứng dụng giả và có mã để nhắm tới tài khoản Ethereum. Bài viết không nêu CVE hay hướng dẫn vá từ nhà cung cấp.