新发现的PamStealer并非典型的macOS恶意软件

# 新发现的PamStealer并非典型的macOS恶意软件 来源：https://arstechnica.com/security/2026/07/new-pamstealer-macos-malware-uses-clever-tradecraft-to-remain-stealthy/ 研究人员发现了一款前所未有的macOS恶意软件，它结合一系列精妙的间谍技巧，以隐秘、自定义开发的凭据窃取代码感染Mac电脑。 该恶意软件分两阶段投递。第一阶段通过一个伪装成Mac剪贴板管理工具**Maccy**（https://maccy.app/）的磁盘映像分发，编译成AppleScript，其交付第二阶段的方式尤为引人注目。这款恶意软件被命名为PamStealer，因为用Rust编写的信息窃取程序利用了macOS内置的可插拔认证模块（PAM）接口，在将目标登录密码发送至攻击者控制的服务器前先进行本地验证。 ## 更安静的执行链 磁盘映像与AppleScript的组合在Mac恶意软件中很常见，但PamStealer将其结合以实现隐蔽性的方式更为罕见。当AppleScript被双击时，它会在macOS脚本编辑器中打开，而恶意功能深藏于文件内部。 “该AppleScript并未依赖curl或zsh等shell命令，而是执行一个自包含的JavaScript自动化（JXA）下载器，利用原生Objective-C API来检索和暂存载荷，”面向macOS用户的安全公司Jamf的研究人员**写道**（https://www.jamf.com/blog/pamstealer-macos-infostealer-applescript-rust/）。“结合基于Rust的第二阶段以及通过PAM本地验证凭据的密码获取流程，最终形成了一条比我们通常在商品化macOS窃取程序中观察到更安静的执行链。” 当用户期望安装一个可信的剪贴板管理器而遇到磁盘映像时，会被提示在双击后立即按下Command-R键。此命令会直接执行AppleScript中的恶意代码，同时绕过`com.apple.quarantine`（macOS中一个在可执行文件从互联网下载时提供警告和限制的属性）。 正如Jamf所解释的： > PamStealer将一种新兴的投递表面与一种较为陌生的载荷相结合。虽然可点击的.scpt文件和脚本编辑器诱饵沿用了已在macOS威胁格局中逐渐流行的间谍技巧，但该恶意软件通过自包含的JXA投递器、基于Rust的第二阶段以及通过PAM本地验证凭据后再窃取的密码获取流程脱颖而出。其第二阶段投入大量精力保持隐藏，伪装成Finder、加密命令与控制流量，并将全磁盘访问权限等提示延迟长达四十分钟，以使其活动与启动时间错开。这些行为共同表明，商品化macOS窃取程序仍在不断进化，采用更安静的执行链和原生实现，减少传统检测机会，同时保持与标准macOS功能的兼容性。 第一阶段将载荷放入一个冒充macOS内置真实组件的应用包中。该组件在不同样本间有所变化：例如`Finder.app`（位于`com.apple.finder.core`或`com.apple.finder.monitor`下）以及`Software Update.app`（位于`com.apple.security.daemon`下）。无论哪种情况，它们都会隐藏运行，并显示macOS原生的Finder图标（Finder.icns）作为其图标。