Исследователи Jamf Threat Labs обнаружили PamStealer — стилер для macOS, который маскируется под популярный менеджер буфера обмена Maccy и не просто выманивает пароль, а локально проверяет его через PAM, пока жертва не введет правильный. Для русскоязычных команд это не экзотика из мира зарубежных SOC-отчетов, а еще один сигнал: атаки на macOS давно перестали быть шумными и примитивными, а поддельный сайт и нативный системный диалог по-прежнему работают лучше многих zero-day.
О новой схеме, как пишет The Hacker News, стало известно 3 июля 2026 года. По данным Jamf, злоумышленники используют сайт-двойник maccyapp[.]com, который копирует внешний вид официального ресурса Maccy — maccy[.]app. Жертве предлагают скачать якобы легитимное приложение, но внутри образа диска лежит скомпилированный AppleScript-файл Maccy.scpt. На этом месте обычно ждут грубую подделку, которую система сразу блокирует, но авторы PamStealer построили цепочку аккуратнее: файл открывается в Script Editor и показывает пользователю инструкции запустить его через кнопку Run или сочетание клавиш Command+R.
Дальше включается трюк, который и делает историю неприятной. Вредоносная логика спрятана ниже большого блока пустых строк, так что пользователь видит почти безобидное окно со скриптом и может не заметить подвоха. После запуска AppleScript разворачивает загрузчик на JavaScript for Automation и через нативные Objective-C API подтягивает следующий этап атаки. Исследователь Jamf Тейс Хафлер отмечает важную деталь: схема срабатывает даже при наличии атрибута com.apple.quarantine, то есть атакующим удается обойти часть привычных защитных сценариев Gatekeeper и Terminal без особенно громких индикаторов. На практике это означает более тихое исполнение, чем у типовых массовых мак-стилеров, которые часто палятся на первом же шаге.
Сам PamStealer состоит из двух стадий. Первая — тот самый AppleScript-дроппер, вторая — Mach-O-бинарник на Rust, замаскированный под Finder. Уже он отвечает за основную работу: собирает учетные данные, вытаскивает данные браузеров, интересуется расширениями криптокошельков, содержимым iCloud Keychain и буфером обмена, а затем шифрует собранное и отправляет его на инфраструктуру злоумышленников по HTTP, в этом случае на домен avenger-sync[.]live. Отдельно вредонос просит у пользователя полный доступ к файловой системе, то есть бьет сразу в две точки: в доверие к знакомому приложению и в привычку бездумно подтверждать системные запросы, если они выглядят нативно.
Название PamStealer вредонос получил не из-за очередного маркетингового нейминга исследователей, а из-за конкретной функции: он валидирует введенный системный пароль через macOS Pluggable Authentication Modules. Иначе говоря, жертве показывают системное окно ввода пароля, после чего вредонос не просто сохраняет строку, а проверяет, подходит ли она для логина в системе. Если пароль неверный, окно просит ввести его еще раз и повторяет цикл, пока пользователь не отдаст рабочий вариант. Это резко повышает ценность украденных данных. Для атакующего разница между «какой-то строкой из фишинговой формы» и подтвержденным локально паролем администратора слишком велика, чтобы ее игнорировать.
После получения корректного пароля вредонос показывает второй ложный диалог: приложение якобы повреждено и его нужно переместить в корзину. Этот финальный жест нужен не для эксплуатации, а для маскировки следов. К моменту появления сообщения полезная нагрузка уже успевает отработать, собрать пароль и закрепиться в системе. Пользователь, скорее всего, решит, что просто скачал сломанный файл, удалит приманку и не свяжет странное поведение машины с инцидентом. Внутри Rust-компонента Jamf также нашла небольшой arm64 Mach-O, который выдает себя за системные настройки macOS и используется для обеспечения персистентности.
Еще один неприятный слой — фильтрация среды. Дроппер перед запуском собирает отпечаток хоста: архитектуру процессора, локаль, раскладку клавиатуры и часовой пояс. На основе этих параметров он получает ключ для расшифровки конфигурации с URL полезной нагрузки и путем установки. Если система работает на Intel, а не на Apple Silicon, расшифровка не срабатывает и выполнение прекращается. Кроме того, вредонос старается не запускаться в песочницах и средах анализа, а также игнорирует машины, где часовой пояс, локаль и клавиатурный ввод указывают на страны Восточной Европы, включая Россию, Беларусь, Казахстан, Армению, Азербайджан, Кыргызстан, Молдову, Таджикистан, Узбекистан, Туркменистан и Грузию. Для российских компаний это не повод выдыхать: такая геофильтрация чаще говорит о происхождении или операционной осторожности злоумышленников, чем о реальном отказе от атак против региона. Домашний Mac сотрудника, VPN, другая локаль или английская раскладка легко ломают эту логику.
История с Maccy показывает и другой тренд: macOS-вредоносы становятся ближе к обычной прикладной разработке. Здесь нет ставки на экзотический эксплойт. Есть поддельный лендинг, AppleScript, JXA, Rust, нативные API, аккуратная проверка окружения, нормальная работа с персистентностью и понятная бизнес-логика кражи данных. Для защитников это плохая новость, потому что чем ближе малварь к штатным возможностям системы, тем меньше у нее «кричащих» признаков. Для разработчиков и IT-руководителей вывод приземленный: контролировать нужно не только EDR и обновления, но и канал дистрибуции приложений, права на Full Disk Access, обучение сотрудников и перечень реально разрешенных утилит на корпоративных Mac.
Разработчик Maccy Алекс Родионов уже добавил предупреждение на сайт проекта и в GitHub-репозиторий: фальшивые домены вроде maccyapp[.]net и maccyapp[.]com раздают вредонос под видом легитимного приложения, а официальным остается только maccy[.]app. Но главный вывод шире одной конкретной утилиты. Стилер для macOS больше не обязан выглядеть как кустарная поделка, чтобы успешно красть пароли и данные. Если массовые семейства продолжают учиться тихому запуску, нативной маскировке и локальной валидации учетных данных, то спор «нужно ли серьезно защищать Mac-парк» в 2026 году уже выглядит не как дискуссия, а как симптом запоздалой реакции.