PamStealer חדש ל-macOS: פענוח השלב השני תלוי בשרת ה-C2 של התוקפים

חוקרי אבטחה זיהו גרסה חדשה של PamStealer, גנב מידע ל-macOS, שיכול לשחזר את המטען המרכזי שלו רק בעזרת שרת שנשלט בידי התוקפים. את הממצאים ניתחה Jamf Threat Labs, שתיעדה את הווריאנטים הקודמים של המשפחה ביולי ובאוגוסט 2026.

ארנק מזויף ודרופר מצומצם

קמפיינים קודמים פיתו קורבנות דרך אתרים שהתחזו ל-Maccy, ל-Scoppr ול-Nancy Clipboard. הגל החדש משתמש באתר מזויף, wavel[.]app, שמפרסם שירות ארנק קריפטו שלא קיים בשם Wavel. כפתור "Download for macOS" מוריד את Wavel.dmg, קובץ דיסק שמכיל קובץ AppleScript מהודר. פתיחתו מפעילה את Script Editor של Apple ומבקשת מהמשתמש להריץ דרופר JXA; השכבה הזו רק מפענחת מחרוזת base64 ומעבירה את התוצאה אל /bin/zsh -s, ואז מסתיימת, בעוד סקריפט ה-shell ממשיך לפעול ברקע.

פענוח שתלוי בשרת ה-C2

סקריפט ה-shell מוריד כלי ייעודי בשם pkgunpack מ-wavel.apple03cloudstore[.]com, מבצע החלפת מפתחות X25519 ורק לאחר מכן מפענח את המטען של השלב השני. "בלי שיתוף פעולה של השרת אי אפשר לשחזר את המטען באופן סטטי", אמר החוקר Thijs Xhaflaire מ-Jamf. המפתח הפרטי נמצא בשרת, ובכל הרצה נוצר זוג מפתחות זמני חדש, כך שלא ניתן לעשות שימוש חוזר במפתח שיורט. בלי סשן C2 פעיל אין למטען המוצפן כמעט תועלת בניתוח סטטי.

ארבע שכבות התמדה וגנב שנכתב ב-Swift

לפני ההתקנה הדרופר מדכא התראות של macOS על פריט רקע חדש ומקים ארבעה מנגנונים עצמאיים: LaunchAgent, סקריפט תיקון ב-zsh שמשחזר את חבילת המטען ואת ה-LaunchAgent אם נמחקו, וו שנוסף ל-~/.zshrc שמפעיל את התיקון בכל סשן shell אינטראקטיבי חדש, וווים של Git. מכיוון ש-git config --global core.hooksPath מצביע לתיקייה של התוקפים, כל git checkout או commit מריץ בשקט את סקריפט התיקון. הנתונים שנאספו מועלים לשרת כארכיון ZIP.

השלב האחרון נכתב מחדש ב-Swift והחליף את גנב ה-Rust של וריאנטים קודמים. הוא קולט את סיסמת המערכת דרך דיאלוג קריסה מזויף ומאמת אותה באמצעות PAM, ואז אוסף פריטים מ-Keychain ופרטי התחברות מדפדפנים מבוססי Chromium ו-Firefox, ובהם Chrome, Edge, Firefox, Brave, Vivaldi, Opera, Opera GX, Arc, Zen, Waterfox, LibreWolf, Yandex Browser ו-Cốc Cốc. הוא גם אוסף היסטוריית shell, הגדרות Git, אפליקציות מותקנות ותמונת הפרופיל של המשתמש.