Еволюція прихованого шпигунства в macOS

Сучасний ландшафт кіберзагроз для користувачів Mac проходить через етап якісної трансформації. Примітивні трояни поступаються місцем складним багатоетапним інструментам, як-от PamStealer. Його ключова перевага — не в агресивності, а у винятковій скритності, що досягається завдяки використанню легітимних інструментів розробки та системних інтерфейсів Apple.

Процес зараження стартує з класичного, проте майстерно реалізованого прийому соціальної інженерії. Жертві пропонують завантажити образ диска, замаскований під Maccy — популярний і визнаний менеджер буфера обміну. Використання образу диска дозволяє шкідливому ПЗ ввести користувача в оману, створюючи ілюзію інсталяції стандартного програмного забезпечення.

Технічний ланцюжок виконання PamStealer нагадує багатошаровий «пиріг». Перший етап реалізовано на AppleScript, який при запуску відкривається у стандартному редакторі скриптів macOS, що дозволяє приховати шкідливий код глибоко всередині файлу. Проте справжня складність розкривається далі: замість типових для малварі команд оболонки, як-от curl або zsh, які легко фіксуються сучасними системами захисту (EDR), AppleScript запускає автономний завантажувач JavaScript for Automation (JXA). Цей механізм, у свою чергу, взаємодіє з нативними API Objective-C для вилучення та підготовки основного корисного навантаження (payload), написаного мовою Rust.

Вибір Rust для фінального етапу не є випадковим. Ця мова гарантує високу продуктивність і безпеку пам'яті, але, що критично важливо для зловмисників, код на Rust значно складніше піддати реверс-інжинірингу, ніж традиційні скрипти.

Окремої уваги заслуговує метод обходу системи карантину macOS. Атрибут com.apple.quarantine зазвичай блокує запуск виконуваних файлів, завантажених з інтернету, виводячи попередження користувачеві. Щоб нейтралізувати цей захист, PamStealer пропонує жертві натиснути комбінацію Command-R одразу після відкриття образу. Ця дія запускає код безпосередньо в контексті AppleScript, що дозволяє ефективно «прослизнути» повз механізми перевірки Gatekeeper.

Ключовою інновацією PamStealer стало використання інтерфейсу Pluggable Authentication Modules (PAM). PAM — це стандартний механізм macOS, призначений для гнукого налаштування автентифікації користувачів. Більшість інфостилерів покладаються на «шумні» виклики, такі як dscl, security або osascript, які залишають помітні сліди в системних логах. PamStealer натомість взаємодіє з PAM API напряму.

Коли користувач бачить підроблене вікно авторизації з повідомленням «Maccy хоче внести зміни. Введіть свій пароль, щоб дозволити», введені дані перевіряються локально через PAM. Шкідливе ПЗ не надсилає кожен символ на сервер у реальному часі, а чекає підтвердження від самої системи щодо правильності пароля. Лише після успішної локальної верифікації підтверджений пароль пересилається на сервер зловмисників. Якщо ж пароль некоректний, програма нескінченно виводитиме запит, доки не отримає правильну відповідь.

Щоб остаточно присипити пильність жертви, після успішного викрадення пароля PamStealer виводить повідомлення про те, що файл пошкоджений і встановлення неможливе. Це витончений психологічний хід: користувач списує невдачу на технічний збій, навіть не підозрюючи, що його облікові дані вже скомпрометовані.

Окрім викрадення паролів, програма намагається отримати повний доступ до диска, що відкриває шлях до будь-яких особистих файлів користувача. Окремим вектором атаки став пошук даних облікових записів Ethereum, що підкреслює зростаючий інтерес кіберзлочинців до криптоактивів власників преміальних пристроїв.

Кейс PamStealer підтверджує тривожний тренд: шкідливе ПЗ еволюціонує в бік «нативності». Використовуючи легітимні API та системні модулі, зловмисники створюють інструменти, які майже не відрізняються від звичайних системних процесів. Це робить традиційні методи виявлення за сигнатурами або аналізом підозрілої поведінки оболонки малоефективними.