Обнаружена новая macOS-вредоносная программа PamStealer, использующая хитрые методы скрытности
Исследователи обнаружили ранее неизвестную вредоносную программу для macOS, которая сочетает несколько изощренных приемов для заражения Mac и кражи паролей.
Исследователи из компании Jamf, занимающейся безопасностью macOS, обнаружили новую вредоносную программу, названную PamStealer. Она доставляется в два этапа. Первый этап — это образ диска, маскирующийся под Maccy, легитимный менеджер буфера обмена. Образ содержит AppleScript, который при двойном щелчке открывается в редакторе скриптов Script Editor. Вредоносный код глубоко спрятан внутри файла. Вместо типичных команд оболочки AppleScript использует JavaScript for Automation (JXA) для загрузки второго этапа через нативные Objective-C API. Второй этап написан на Rust и представляет собой похититель информации. Он использует встроенный в macOS интерфейс Pluggable Authentication Modules (PAM) для локальной проверки пароля пользователя перед отправкой на сервер злоумышленника. PamStealer применяет несколько методов скрытности. Он обходит атрибут com.apple.quarantine, предлагая пользователю нажать Command-R сразу после двойного щелчка, что выполняет вредоносный код и избегает предупреждений карантина. Второй этап маскируется под легитимные системные компоненты, такие как Finder или Software Update, используя настоящие иконки Finder. Он также шифрует трафик управления и задерживает запросы на полный доступ к диску до 40 минут, чтобы избежать обнаружения. Эта комбинация методов делает PamStealer более скрытным, чем типичные похитители для macOS. Вредоносная программа показывает, как массовые похитители для macOS эволюционируют, используя нативные реализации и менее заметные цепочки выполнения.