PamStealer si spaccia per Maccy per rubare password e altri dati su macOS

I ricercatori di sicurezza hanno identificato un nuovo infostealer per macOS, denominato PamStealer, che utilizza un sito web falso, un dropper AppleScript a più stadi e la verifica locale delle password per compromettere furtivamente gli utenti Mac.

Secondo Jamf Threat Labs, la campagna inizia con un'immagine disco che sembra offrire il gestore degli appunti Maccy. In realtà, il download proviene da un dominio simile a quello legittimo, progettato per assomigliare al sito ufficiale del progetto. All'interno dell'immagine si trova un file AppleScript compilato che avvia un downloader JavaScript for Automation e recupera un payload di secondo stadio dall'infrastruttura degli aggressori.

Come funziona la catena d'infezione

Lo script del primo stadio include diversi controlli prima di procedere. I ricercatori hanno affermato che identifica il sistema in uso, verifica che sia eseguito su Apple Silicon e utilizza i dettagli di sistema raccolti per decrittografare un file di configurazione incorporato. Se il computer utilizza hardware basato su Intel, la decrittografia non riesce e l'infezione si interrompe.

Il dropper tenta inoltre di evitare sandbox e ambienti di analisi e può rifiutarsi di funzionare in ambienti associati a un elenco di Paesi dell'Europa orientale, in base alle impostazioni internazionali, al layout della tastiera e al fuso orario.

Cosa ruba il malware

Se i controlli hanno esito positivo, lo script scarica un binario Mach-O basato su Rust che si spaccia per Finder. Questo componente è responsabile della raccolta di dati da diverse fonti, tra cui:

• Browser web
• Estensioni per portafogli di criptovalute
• Portachiavi iCloud
• Contenuti degli appunti

Le informazioni rubate vengono crittografate e inviate ai server controllati dagli aggressori tramite HTTP. Il malware tenta inoltre di ottenere un ampio accesso al file system e mostra una falsa richiesta di password per catturare le credenziali di accesso della vittima.

Una caratteristica degna di nota della campagna è l'utilizzo dei moduli di autenticazione collegabili di macOS, o PAM, per confermare la validità della password inserita. Se il primo tentativo non riesce, la richiesta viene ripetuta finché non viene fornita la password corretta.

Un falso messaggio di errore nasconde la compromissione

Dopo aver catturato la password, il malware mostra un falso avviso in cui si afferma che l'app Maccy è danneggiata e dovrebbe essere spostata nel Cestino. Jamf ha dichiarato che questo messaggio serve a far credere alla vittima che il download non abbia funzionato, anche se il payload è già stato eseguito e la persistenza è stata configurata.

La scoperta ha inoltre spinto lo sviluppatore di Maccy a mettere in guardia gli utenti sui siti contraffatti. La pagina ufficiale del progetto rimane maccy.app, mentre domini come maccyapp[.]com e maccyapp[.]net sono stati associati alla distribuzione di malware.

I ricercatori affermano che PamStealer riflette una tendenza più ampia delle minacce per macOS: un numero maggiore di componenti nativi, esecuzione più discreta e un minor numero di indicatori evidenti che i difensori possano rilevare facilmente.