Neu entdeckter PamStealer zielt auf macOS-Nutzer

Forscher haben eine neue macOS-Malware namens PamStealer entdeckt, die eine Reihe hochentwickelter Techniken kombiniert, um Macs zu infizieren und Anmeldeinformationen an einen von Angreifern kontrollierten Server zu stehlen. Ein besonderes Merkmal der Malware ist die Nutzung der in macOS integrierten Pluggable Authentication Modules (PAM)-Schnittstelle zur Validierung von Passwörtern, bevor diese exfiltriert werden.

Die Infektion durch PamStealer erfolgt in zwei Stufen. Die erste Stufe wird über ein Disk-Image verbreitet, das sich als Maccy, ein beliebter Zwischenablage-Manager für Macs, tarnt. Der AppleScript-Code innerhalb dieses Disk-Images ist darauf ausgelegt, die zweite, eigentliche Anmeldedaten-stehlende Stufe der Malware an das Ziel zu übermitteln.

Während die Verwendung von Disk-Images und AppleScript bei Mac-Malware üblich ist, ist PamStealers Kombination dieser Methoden auf eine Weise, die seine Tarnung verbessert, ungewöhnlich. Wenn die AppleScript-Datei per Doppelklick geöffnet wird, öffnet sie sich im Script Editor von macOS, wobei die bösartige Funktionalität tief in der Datei verborgen ist, was die Erkennung erschwert.

Der in Rust geschriebene Infostealer von PamStealer nutzt die in macOS integrierte PAM-Schnittstelle. Dies ermöglicht es der Malware, das eingegebene Passwort des Zielbenutzers zu überprüfen, bevor es an von Angreifern kontrollierte Server gesendet wird. Die Verwendung dieser fortschrittlichen Technik macht PamStealer zu einer bemerkenswerten Bedrohung für Mac-Nutzer.