PamStealer a ameaça macOS que se disfarça de Finder e rouba senhas e chaves

Uma nova ameaça para macOS, apodada PamStealer, exibe quão sofisticadas e silenciosas podem agora ser as campanhas que buscam roubar credenciais e dados sensíveis. Não se trata de um simples anexo ou de um executável empacotado: os autores combinaram um dropper na AppleScript com um carregador em JavaScript for Automation (JXA) e um segundo estádio nativo escrito em Rust para reduzir sinais de detecção e explorar comportamentos legítimos do sistema.

O vetor de engano começa na web. Os atacantes criaram sites que imitam a página do projeto Maccy, o administrador de área de transferência de código aberto e distribuem uma imagem de disco (.dmg) que contém um arquivo .scpt compilado com instruções para baixar e implantar o binário malicioso. O truque de engenharia social Ele inclui forçar o utilizador a executar o programa do Script Editor (ruinça + R ou carregando Run) porque o código malicioso está escondido após um grande bloco de linhas em branco; essa técnica evita que o conteúdo seja óbvio a olho simples e pode evitar controles automáticos que olham apenas as primeiras linhas.

Mais preocupante é a maneira como PamStealer verifica que está no objetivo desejado antes de agir. O dropper faz uma marca do computador e deriva uma chave de decifração baseada na arquitetura (Apple Silicon vs Intel), a configuração regional, o teclado e o fuso- horário. Se a equipe não cumprir as condições (por exemplo, se a Intel ou se o sistema parece localizado em países da Europa Oriental), o instalador parar. Este perfil dirigido dificulta a análise em ambientes laboratoriais e ajuda a evitar a detecção em regiões de origem dos operadores.

Quando supera essas barreiras, o segundo estádio — um binário Mach-O em Rust que se faz passar pelo Finder — começa a coletar dados: históriais e credenciais de navegadores, extensões de carteira criptográfica, conteúdo da área de transferência e até itens do iCloud Keychain. Além disso, para sortear a fricção de permissões, PamStealer apresenta uma janela nativa que solicita a senha do sistema e a valida contra as APIs do PAM do macOS. Se a senha for incorrecta, insiste até que o utilizador introduz a credencial correta. Este método permite aos atacantes obter a senha real do utilizador, não apenas tokens ou confirmações superficiais.

Uma vez obtida a senha, o malware estabelece persistência através de um binário que imita as preferências do Sistema e cifra e exfiltra as informações a servidores controlados pelos atacantes. Também mostra uma mensagem falso tipo Gatekeeper que convida a eliminar a aplicação, com a intenção de que a vítima acredite que a descarga falhou enquanto o roubo já aconteceu.

As implicações para empresas e usuários são claras: a captura de uma senha de login local pode permitir acesso a contas, decifração de keychains, instalações persistentes e movimento lateral. Além disso, o uso de Rust e de componentes nativos reduz as assinaturas estáticas e o ruído nos sistemas de detecção convencionais, o que complica a resposta e a remediação.

Como medidas imediatas, não execute programas nem aplicações descarregadas a partir de sites não verificados. Verifique sempre o URL oficial antes de baixar o software: a única web oficial do Maccy é https://maccy.app e o código fonte está disponível no GitHub em https://github.com/p0deje/Maccy. Se receber uma janela pedindo a sua senha fora do fluxo normal do sistema ou sem contexto claro, não a indique; cancele e verifique a proveniência do software. A Apple mantém documentação e guias sobre o Gatekeeper e a abertura de arquivos que podem ajudar a entender alertas legítimos: https://support.apple.com/guide/mac-help/open-a-file-from-an-unidentified-developer-mh40616/mac.

Em ambientes corporativos convém bloquear domínios de distribuição maliciosos em DNS, aplicar políticas de download restritivas via MDM, exigir downloads assinados e notarizados, e monitorar conexões salientes em busca de comunicações suspeitas para servidores não autorizados. Se suspeitar que uma equipe foi comprometida, assuma que as credenciais locais e os keychains podem estar comprometidos: desconecte a equipe, capture evidências de processo e rede, rote senhas e tokens, verifique extensões de navegador e carteiras, e considere uma reinstalação limpa se a persistência foi estabelecida.

A evolução do PamStealer mostra que os atacantes adaptam seu trabalho às defesas do macOS aproveitando a própria interface e APIs do sistema para enganar o usuário e validar credenciais. A prevenção continua a ser o melhor antídoto: Confie de sites clonados, restrinja a execução de scripts, use chaves físicas ou outros fatores de autenticação quando possível, e mantenha uma postura de detecção que inclua telemetria sobre processos nativos, atividade de rede e mudanças na persistência do sistema.

Se você gerencia incidentes ou quer manter-se informado, consulte avisos de segurança e análises técnicas publicados por fornecedores de telemetria e fabricantes de software e coloque na sua lista de prioridades a educação contínua de usuários sobre técnicas de engano que já não dependem apenas de anexos óbvios, mas de abusos sutis da funcionalidade legítima do sistema.