Третий вариант PamStealer для macOS распространяется через поддельный установщик криптокошелька

Прежние сборки семейства маскировались под менеджер буфера обмена Maccy и другие безобидные программы. Новая версия сменила приманку и полностью перестроила схему доставки. Жертва попадает на правдоподобно оформленный сайт с кнопкой загрузки для macOS. Нажатие запускает скачивание образа диска. Внутри лежит скомпилированный сценарий без имени, только с расширением. Система по умолчанию скрывает расширения, поэтому для большинства пользователей файл выглядит как обычный документ.

По данным Jamf Threat Labs, компания впервые описала это семейство в июле 2026 года. С тех пор она продолжает отслеживать его развитие. Открытие файла запускает редактор сценариев и выполняет встроенный код. Тот незаметно передает управление оболочке системы. Дальше загруженный сценарий отделяется от родительского процесса и продолжает работу в фоне. Проследить цепочку запуска стандартными средствами мониторинга после этого становится сложнее.

Главное техническое отличие новой сборки связано с расшифровкой. Раньше ключ для распаковки полезной нагрузки хранился прямо внутри кода. Теперь зараженный компьютер скачивает отдельную утилиту. На каждом запуске она проводит обмен ключами с сервером злоумышленников. Только после ответа сервера полезная нагрузка может быть распакована. Закрытый ключ остается на стороне сервера, поэтому без его участия восстановить содержимое нельзя. Для каждого запуска создается новая пара ключей. Перехваченный ответ сервера невозможно использовать повторно, что защищает схему от воспроизведения.

После расшифровки на диск попадает архив с приложением Wavel. Программа копирует себя в скрытую папку и переименовывается под системный компонент Finder. Подпись тоже создается заново. Такой прием позволяет обойти стандартные проверки безопасности macOS без диалогового окна с запросом разрешения.

Отдельного внимания заслуживает маскировка уведомлений. macOS обычно показывает пользователю сообщение, когда в систему добавляется новая фоновая программа. Новая сборка на время приостанавливает системные процессы, отвечающие за такие уведомления. Затем она регистрирует свою программу и только потом завершает приостановленные службы. Пользователь не видит никаких предупреждений. В более ранних версиях такой прием отсутствовал. Это говорит о внимании авторов к видимым для пользователя сигналам.

Закрепление в системе сделано многослойным. Основной механизм запускает вредоносную программу при входе в систему. При сбое он перезапускает ее каждые 15 секунд. Дополнительно создаются три механизма восстановления. Один из них проверяет наличие основной программы. При необходимости он восстанавливает ее из локальной резервной копии. Обращение к сети не требуется. Второй срабатывает при каждом открытии терминала. Третий встраивается в систему контроля версий и запускается при любом действии с репозиториями кода. Удалить угрозу становится сложнее, поскольку восстановление происходит автоматически.

Вторая ступень вредоносной программы раньше использовала язык Rust. Теперь ее переписали на Swift. Цели сбора данных при этом не изменились. Программа показывает пользователю окно с запросом пароля, оформленное как системное уведомление. Введенные данные проверяются через штатный механизм аутентификации macOS. Именно эта особенность дала семейству имя. Ввод пароля выглядит для человека как обычное подтверждение системного действия.

Собранные данные включают связку ключей, сохраненные пароли браузеров и системную информацию. Программа охватывает семнадцать браузеров. Среди них не только распространенные Chrome, Firefox, Edge и Opera. Есть и нишевые решения вроде Arc, Zen, Waterfox и Yandex Browser. Перед сбором данных вредоносный код завершает вспомогательные процессы браузеров. Это позволяет получить доступ к файлам без их повреждения. Кроме учетных данных, программа копирует историю команд терминала, настройки оболочек и конфигурацию системы контроля версий.

Отдельная деталь касается фотографии профиля. Изображение, которое человек устанавливает для своей учетной записи в macOS, хранится в системном каталоге. Вредоносная программа читает его напрямую. Вместе с паролями на сервер злоумышленников может уйти настоящая фотография владельца компьютера.

Собранный архив отправляется на сервер одним запросом. Программа ждет, пока файл перестанет меняться, проверяет его целостность и только затем загружает. Весь процесс занимает минуты и не требует действий пользователя после первоначального запуска.

Схема показывает, что авторы уделяют все больше внимания устойчивости и скрытности. Расшифровка только при участии сервера и многослойное закрепление усложняют обнаружение. Обход системных уведомлений делает удаление сложнее, чем у большинства похожих программ для macOS. Скачивать приложения стоит только с официальных сайтов разработчиков. К запросам пароля от системных окон нужно относиться внимательно. Проверять список фоновых программ в настройках системы тоже полезно.