Nyupptäckt PamStealer riktar sig mot macOS-användare

Forskare har upptäckt en ny typ av skadeprogram för macOS, kallad PamStealer. Den kombinerar en rad sofistikerade tekniker för att infektera Mac-datorer och stjäla inloggningsuppgifter till en angriparkontrollerad server. En unik egenskap hos skadeprogrammet är dess användning av Apples inbyggda autentiseringsgränssnitt, Pluggable Authentication Modules (PAM), för att validera lösenord innan de skickas vidare.

PamStealer levereras i två steg. Det första steget distribueras via en diskavbildning som utger sig för att vara Maccy, en populär urklippshanterare för Mac. AppleScript-koden i diskavbildningen är utformad för att leverera det andra, verkliga stöldsteget av skadeprogrammet till målet.

Medan användningen av diskavbildningar och AppleScript är vanlig för Mac-skadeprogram, är PamStealers kombination av dessa, på sätt som ökar dess smygande natur, ovanlig. När AppleScript-filen dubbelklickas öppnas den i macOS Script Editor, där den skadliga funktionen är djupt begravd i filen, vilket gör den svårare att upptäcka.

PamStealers informationstjuv, skriven i Rust, utnyttjar PAM-gränssnittet som är inbyggt i macOS. Detta gör det möjligt för skadeprogrammet att verifiera användarens angivna lösenord innan det skickas till angriparens servrar. Användningen av denna avancerade teknik gör PamStealer till ett betydande hot för Mac-användare.