›PamStealer gibt sich als Maccy-Anwendung aus und stiehlt macOS Daten
PamStealer gibt sich als Maccy-Anwendung aus und stiehlt macOS Daten
News der Branche, Berichte
Die Passwortabfrage sieht aus wie eine echte macOS-Autorisierungsanfrage (Copyright Jamf)
JAMF THREAT ALERT
Sehr geehrte Damen und Herren,
Jamf Threat Labs hat mit PamStealer einen macOS-Infostealer identifiziert, der sich als legitimer Zwischenablage-Manager “Maccy” tarnt und auf eine besonders unauffällige Angriffskette setzt. Die Malware tritt als das scheinbar harmloses Open-Source-Tool auf, nutzt vertraute Systemabläufe aus und kombiniert Social Engineering mit nativen macOS-Funktionen, um Zugangsdaten und weitere sensible Informationen abzugreifen.
So läuft der Angriff unter macOS ab
Der Angriff beginnt mit einem präparierten AppleScript, das Nutzer im Script Editor öffnen und selbst ausführen sollen. Die Datei wirkt harmlos, der Ablauf erscheint plausibel und die sichtbaren Hinweise im Dokument lenken gezielt zur Ausführung. Anders als viele bekannte macOS-Stealer verzichtet PamStealer in dieser ersten Phase auf Shell-Kommandos. Stattdessen lädt das AppleScript den nächsten Payload unauffälliger nach und hinterlässt dabei weniger sichtbare Spuren.
In der zweiten Stufe des Angriffs greift ein Rust-basierter Infostealer Browserdaten und Inhalte der Zwischenablage ab und etabliert Persistenz. Zusätzlich tarnt sich die Malware als legitime Systemkomponente und zeigt eine Passwortabfrage an, die wie eine normale macOS-Autorisierungsanfrage wirkt. Das eingegebene Passwort prüft sie lokal über PAM und arbeitet anschließend mit verifizierten Zugangsdaten weiter. Später versucht sie außerdem, Nutzer zur Freigabe von Full Disk Access zu bewegen, um auf weitere geschützte Datenbereiche zuzugreifen.
Analyse von Jamf Threat Labs
PamStealer zeigt, wie sich macOS-Malware weiterentwickelt. Die Malware bringt keine völlig neue Methode mit, kombiniert bekannte Bausteine aber so, dass der Angriff deutlich unauffälliger abläuft als bei vielen klassischen Commodity-Stealern. Native APIs, glaubwürdige Tarnung, lokale Passwortprüfung und zeitversetzte Social-Engineering-Schritte erschweren die Erkennung und reduzieren typische Warnsignale.
Einzelne Aktivitäten wirken für sich genommen nicht zwangsläufig verdächtig. In ihrer Gesamtheit ergeben sie jedoch eine Angriffskette, die sich gezielt an legitimen Systemverhalten orientiert und klassische Erkennungsmuster umgehen soll. Die Analyse von Jamf Threat Labs macht damit deutlich, dass Sicherheitsteams bei macOS-Bedrohungen nicht nur auf einzelne Indikatoren achten sollten, sondern auf die Verbindung mehrerer unauffälliger Signale auf demselben System.
Die vollständige Analyse des Threat-Labs-Teams finden Sie hier.
Interesse an einem Hintergrundgespräch oder Fachbeitrag?
Sie möchten mit einem Cybersecurity-Experten der Jamf Threat Labs sprechen oder haben Interesse an einem Fachbeitrag? Dann freue ich mich auf Ihre Nachricht unter jamf@schwartzpr.de oder telefonisch unter 0049 89 211 871 64.
Über Jamf
Ziel von Jamf ist es, Arbeit zu erleichtern und Unternehmen dabei zu unterstützen, die Nutzung von Apple-Endgeräten sicher und benutzerfreundlich zu gestalten. Jamf ist das einzige Unternehmen weltweit mit einer vollständigen Lösung für die Verwaltung und den Schutz von Endgeräten, die Sicherheit auf Enterprise Level gewährleistet, einfach zu bedienen ist und die Privatsphäre von Endbenutzern schützt. Aktuell unterstützt Jamf 78.000 Unternehmen in 100 Ländern dabei, mehr als 35 Millionen Endgeräte zu verwalten und zu schützen.
