Un team di ricercatori di sicurezza ha scoperto un nuovo malware per macOS mai visto prima, chiamato PamStealer, che combina diverse tecniche avanzate per infettare i Mac e rubare credenziali in modo furtivo. Il malware si diffonde attraverso un'immagine disco che si finge Maccy, un popolare gestore di appunti per Mac. Una volta aperta, l'immagine contiene un AppleScript che, se eseguito, apre lo Script Editor di macOS con il codice dannoso abilmente nascosto all'interno del file. Questa catena di esecuzione silenziosa rappresenta una novità nel panorama delle minacce informatiche per Mac.
PamStealer opera in due stadi. Il primo stadio è il vettore di distribuzione via immagine disco e AppleScript. Il secondo stadio è un infostealer scritto in Rust che sfrutta l'interfaccia Pluggable Authentication Modules (PAM) integrata in macOS per validare la password di login del bersaglio prima di inviarla a un server controllato dagli attaccanti. L'uso di PAM per la convalida locale della password è particolarmente insidioso, perché il malware non si limita a rubare ciò che trova, ma verifica che la password sia corretta, aumentando l'efficacia del furto.
Sponsored Protocol
Un'infezione a due stadi che sfrutta AppleScript e disk image
L'uso combinato di immagini disco e AppleScript è comune nei malware per Mac, ma PamStealer si distingue per il modo in cui li fonde per ottenere massima furtività. Quando l'utente fa doppio clic sul file AppleScript, questo viene aperto in Script Editor, dove il codice dannoso è sepolto in profondità. La maggior parte degli utenti non esamina il contenuto di uno script prima di eseguirlo, e anche gli strumenti di sicurezza automatizzati potrebbero non rilevare la minaccia a causa della struttura complessa del codice. I ricercatori hanno sottolineato che questa tecnica di offuscamento rende PamStealer particolarmente difficile da individuare per i tradizionali antivirus.
Il modulo PAM per validare la password locale prima dell'esfiltrazione
La caratteristica più innovativa di PamStealer è l'integrazione con il sistema PAM di macOS. I PAM sono un framework di autenticazione modulare che consente di validare le credenziali degli utenti. Il malware sfrutta questa interfaccia per verificare che la password inserita dalla vittima sia corretta. Se la password non è valida, il malware continua a richiederla fino a ottenere quella giusta. Solo dopo questa convalida locale, PamStealer esfiltra la password a un server remoto controllato dagli attaccanti. Questo approccio riduce il rischio di raccogliere password errate e aumenta il valore dei dati rubati.
Sponsored Protocol
Perché PamStealer rappresenta un'evoluzione nei malware per Mac
La scoperta di PamStealer evidenzia il crescente impegno dei malintenzionati nello sviluppo di malware per macOS. Mentre in passato i Mac erano considerati più sicuri dei PC Windows, la crescita della base utenti Mac e l'aumento del valore dei dati personali hanno attirato l'attenzione degli autori di malware. PamStealer mostra come le tecniche di credential theft diventino sempre più sofisticate, combinando metodi di distribuzione ingannevoli con meccanismi di validazione locali. Per proteggersi, gli esperti consigliano di scaricare software solo da fonti affidabili, di mantenere aggiornato il sistema operativo e di prestare attenzione agli allegati sospetti. Un utile strumento di difesa è rappresentato dalle nuove funzionalità di sicurezza introdotte con iOS 27, che offrono protezioni avanzate contro le truffe in tempo reale, un approccio che potrebbe estendersi anche al macOS in futuro. Per maggiori dettagli, si può consultare l'articolo iOS 27 introduce Trust Insights per rilevare le truffe in tempo reale durante chiamate e messaggi. Per una descrizione tecnica completa, i ricercatori hanno pubblicato i dettagli su Ars Technica.
Sponsored Protocol
