Sicherheitsforscher von Jamf Threat Labs haben einen neuen, ziemlich perfiden macOS-Infostealer namens PamStealer entdeckt. Die Malware nutzt eine Zwei-Stufen-Taktik, um unbemerkt an sensible Daten zu gelangen, und tarnt sich dabei als die beliebte Open-Source-Zwischenablagen-Verwaltung Maccy.
Verteilt wird der Schädling über eine gefälschte Website mit der Typosquatting-Domain maccyapp[.]com. Wer dort das vermeintliche Tool herunterlädt, erhält ein manipuliertes Disk-Image (.dmg) mit einer kompilierten AppleScript-Datei (.scpt). Öffnet man diese, fordert eine gefälschte Anleitung den Nutzer dazu auf, die Tastenkombination Command R im Skript-Editor zu drücken. Dadurch wird das Schadskript ausgeführt und umgeht gleichzeitig die standardmäßige Quarantäne-Prüfung von macOS.
Das Besondere an PamStealer ist jedoch die zweite Stufe. Sobald die Infektion läuft, wird ein in Rust geschriebenes Binary nachgeladen, das sich als harmlose Systemkomponente (wie Finder oder Software Update) tarnt.
Der Name PamStealer kommt nicht von ungefähr, so die Forscher: Die Malware greift auf das macOS-eigene System PAM (Pluggable Authentication Modules) zu, um das vom Nutzer eingegebene Passwort lokal auf Richtigkeit zu prüfen. Das Opfer wird so lange mit gefälschten Passwort-Abfragen genervt, bis das korrekte Kennwort eingegeben wird. Erst wenn die lokale PAM-Validierung grünes Licht gibt, wird das Passwort zusammen mit Browser-Daten, Krypto-Wallets, iCloud-Schlüsselbund-Daten und den Inhalten der Zwischenablage an die Server der Angreifer übertragen.
Nutzer des echten Clipboard-Managers Maccy sollten also peinlich genau darauf achten, das Tool ausschließlich aus verlässlichen Quellen wie der offiziellen GitHub-Seite oder dem Mac App Store zu beziehen.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.