博客详情

Jamf 公司披露，PamStealer 恶意软件的攻击流程分为两个主要步骤。首先，攻击者会创建一个模仿 Maccy 官方网站的虚假网站。他们利用搜索引擎的付费广告机制来提升该仿冒网站的搜索排名，以此吸引未察觉的受害者点击并下载包含恶意软件的安装包。

当用户下载并执行该恶意软件包后，其中嵌入的 AppleScript 脚本会首先检查运行环境，确保其并非在沙盒中运行。随后，脚本会利用 macOS 的 PAM（Pluggable Authentication Modules）认证机制，弹出一个系统原生的管理员密码输入窗口，要求用户提供其管理员权限密码。

一旦用户输入了管理员密码，该软件包就会从攻击者控制的服务器上下载 PamStealer 恶意木马。这款木马是用 Rust 语言编写的，它能够伪装成 macOS 的文件管理工具“访达（Finder）”。在后台运行后，它会搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感数据。收集完毕并加密后，这些信息会被上传到攻击者的服务器，用于后续对受害者进行勒索。值得注意的是，如果用户想要下载官方正版的 Maccy 软件，务必通过可信赖的渠道，避免下载到类似 PamStealer 这样的恶意软件，而壹号娱乐下载等平台则提供了安全可靠的软件获取途径。