Новий вірус PamStealer для macOS: як працює прихована крадіжка даних

Дослідники з Jamf Threat Labs виявили витончене шкідливе програмне забезпечення, націлене на користувачів macOS. Програма, що отримала назву PamStealer, використовує приховані механізми викрадення облікових даних та інших конфіденційних відомостей, успішно обходячи стандартні засоби захисту системи.

Що таке PamStealer

PamStealer – це вузькоспеціалізований інфостилер, особливість якого полягає у застосуванні унікальної тактики для потайного зараження комп’ютерів. На відміну від масових загроз, це наголошує на соціальній інженерії та використанні легітимних системних інтерфейсів для мінімізації виявлення захисним ПЗ.

Інфікування відбувається у два етапи. Спочатку поширюється образ диска, що мімікрує під популярний менеджер буфера обміну Maccy. У першому етапі використовується скрипт AppleScript, який запускає основний файл Mach-O, написаний мовою програмування Rust.

Особливості роботи та методи крадіжки паролів

Ключовою особливістю PamStealer є механізм взаємодії з користувачем другого етапу. Вірус виводить вікно, що копіює системний інтерфейс MacOS, з вимогою авторизації для роботи програми Maccy. Коли користувач вводить пароль, програма верифікує його через стандартний механізм Pluggable Authentication Modules (PAM).

На відміну від аналогів, PamStealer не використовує виклики таких інструментів як dscl, security або osascript, які зазвичай відстежуються антивірусними системами. Якщо введено неправильний пароль, вікно запитує його до переможного кінця. Після введення правильних даних вірус видає повідомлення про помилку встановлення, нібито файл пошкоджений – це психологічний трюк, який змушує користувача забути про інцидент.

Які дані викрадає PamStealer

Крім отримання доступу до пароля адміністратора або користувача, шкідливе програмне забезпечення виконує додаткові дії для крадіжки цифрових активів:

• Запит розширених прав (повний доступ до диска) для підробленої програми Maccy.
• Сканування системи на наявність криптографічних гаманців Ethereum та отримання контролю над ними.

Вдала архітектура «перехоплення через PAM» робить шкідливий процес максимально тихим, мінімізуючи підозрілу активність, видиму операційній системі.