PamStealer gibt sich als Maccy aus, um macOS-Passwörter und andere Daten zu stehlen

Sicherheitsforscher haben einen neuen macOS-Infostealer namens PamStealer identifiziert, der eine gefälschte Website, einen mehrstufigen AppleScript-Dropper und eine lokale Passwortüberprüfung nutzt, um Mac-Nutzer unbemerkt zu kompromittieren.

Laut Jamf Threat Labs beginnt die Kampagne mit einem Disk-Image, das scheinbar den Clipboard-Manager Maccy anbietet. Tatsächlich stammt der Download von einer ähnlich aussehenden Domain, die die legitime Projektseite nachahmt. Das Image enthält eine kompilierte AppleScript-Datei, die einen Downloader für JavaScript for Automation startet und eine Payload der zweiten Phase von der Infrastruktur der Angreifer abruft.

So funktioniert die Infektionskette

Das Skript der ersten Phase führt vor dem Fortfahren mehrere Prüfungen durch. Den Forschern zufolge erstellt es einen Fingerabdruck des Zielsystems, überprüft, ob dieses auf Apple Silicon läuft, und verwendet die erfassten Systemdaten, um eine eingebettete Konfigurationsdatei zu entschlüsseln. Läuft der Computer auf Intel-basierter Hardware, schlägt die Entschlüsselung fehl und die Infektion wird beendet.

Der Dropper versucht außerdem, Sandboxes und Analyseumgebungen zu umgehen. Zudem kann er die Ausführung in Umgebungen verweigern, die anhand von Regions-, Tastaturbelegungs- und Zeitzoneneinstellungen mit einer Liste osteuropäischer Länder in Verbindung gebracht werden.

Welche Daten die Malware stiehlt

Wenn die Prüfungen erfolgreich sind, lädt das Skript eine Rust-basierte Mach-O-Binärdatei herunter, die sich als Finder ausgibt. Diese Komponente sammelt Daten aus mehreren Quellen, darunter:

• Webbrowser
• Erweiterungen für Kryptowährungs-Wallets
• iCloud-Schlüsselbund
• Inhalte der Zwischenablage

Die gestohlenen Informationen werden verschlüsselt und über HTTP an von den Angreifern kontrollierte Server gesendet. Die Malware versucht außerdem, umfassenden Zugriff auf das Dateisystem zu erlangen, und zeigt eine gefälschte Passwortabfrage an, um die Anmeldedaten des Opfers zu erfassen.

Ein bemerkenswertes Merkmal der Kampagne ist der Einsatz der Pluggable Authentication Modules (PAM) von macOS, um zu bestätigen, ob das eingegebene Passwort gültig ist. Schlägt der erste Versuch fehl, wird die Abfrage so lange wiederholt, bis das korrekte Passwort eingegeben wurde.

Gefälschte Fehlermeldung verschleiert die Kompromittierung

Nachdem das Passwort erfasst wurde, zeigt die Malware eine gefälschte Warnung an, der zufolge die Maccy-App beschädigt sei und in den Papierkorb verschoben werden sollte. Laut Jamf soll diese Meldung das Opfer glauben lassen, der Download sei fehlerhaft gewesen, obwohl die Payload bereits ausgeführt und Persistenz eingerichtet wurde.

Die Entdeckung hat auch den Entwickler von Maccy dazu veranlasst, Nutzer vor Nachahmer-Websites zu warnen. Die legitime Projektseite bleibt maccy.app, während Domains wie maccyapp[.]com und maccyapp[.]net mit der Verbreitung von Malware in Verbindung gebracht wurden.

Den Forschern zufolge spiegelt PamStealer einen breiteren Trend bei macOS-Bedrohungen wider: mehr native Komponenten, eine unauffälligere Ausführung und weniger offensichtliche Indikatoren, die von Verteidigern leicht erkannt werden können.