PamStealer-malware doet zich voor als klembordapp Maccy om wachtwoorden en crypto te stelen
De PamStealer-malware doet zich voor als de klembordapp Maccy om macOS-wachtwoorden, Keychain-gegevens en crypto wallet-keys te stelen — en controleert de inloggegevens via PAM voordat ze worden buitgemaakt.
Een nieuwe infostealer voor macOS, PamStealer gedoopt, doet zich voor als de legitieme opensource-klembordbeheerder Maccy — en buit daarmee Mac-inlogwachtwoorden, browsergegevens, macOS Keychain-data, klembordinhoud en cryptocurrency wallet-keys uit. Hier zit de technisch opvallende twist in. De malware verifieert gestolen wachtwoorden via macOS PAM voordat ze worden geëxfiltreerd, zodat aanvallers meteen bevestigd krijgen dat de inloggegevens daadwerkelijk werken.
Onderzoekers brachten de campagne als eerste aan het licht en herleidden kwaadaardige installatieprogramma’s naar nepwebsites die zijn gebouwd om het echte Maccy-project na te bootsen, aldus Decrypt. Download je de nepapp, dan krijg je realistisch ogende macOS-toestemmingsvensters en wachtwoordprompts te zien die werkelijk moeilijk te onderscheiden zijn van de echte — waardoor de malware precies op het moment van invoer stilletjes inloggegevens kan buitmaken.
Maccy zelf is echt. Het is een veelgebruikte opensource-klembordbeheerder voor macOS, en de naam en branding worden nu misbruikt door een kwaadwillende die daaromheen een overtuigende distributie-infrastructuur heeft opgezet. Digital Trends meldt dat Maccy-gebruikers formeel zijn gewaarschuwd voor de nepdistributiesites na de ontdekking van de campagne, een bevinding die inmiddels door meerdere onafhankelijke beveiligingsmedia is bevestigd.
Wat PamStealer anders maakt
Wat onderscheidt PamStealer dan van het drukbezette veld van macOS-infostealers? Het gebruik van de eigen Pluggable Authentication Modules van het besturingssysteem — het PAM-subsysteem dat op Unix-achtige systemen inlogverificatie afhandelt — om elk gestolen wachtwoord te testen voordat het ergens naartoe gaat. Apple Insider merkt op dat de malware, in plaats van blindelings elke tekenreeks te exfiltreren die een gebruiker in een prompt typt, eerst controleert of de inloggegevens geldig zijn tegen de lokale PAM-stack. Aanvallers ontvangen zo alleen bevestigde, werkende wachtwoorden. Dat verhoogt de waarde van de gestolen data op criminele markten aanzienlijk en beperkt de ruis van dode inloggegevens die de buit zouden vervuilen.
Wat de malware steelt
Het begint met een nep-installatieprogramma. Dat confronteert gebruikers met wat eruitziet als standaard macOS-systeemvensters die om een wachtwoord of verhoogde rechten vragen; zodra een wachtwoord binnenkomt, kan PamStealer de macOS Keychain binnendringen, opgeslagen browsergegevens ophalen, klembordinhoud doorzoeken op gevoelige fragmenten en cryptocurrency wallet-keys die lokaal op de machine zijn opgeslagen, buitmaken. De malware kan ook extra realistisch ogende macOS-achtige prompts tonen die om verdere systeemtoegang vragen — waardoor de social-engineeringlaag aanhoudt en voor een gemiddelde gebruiker moeilijk te herkennen is.
Het dataprofiel is breed, maar de cryptodimensie is specifiek. Wallet-keys behoren expliciet tot de geëxfiltreerde gegevenstypen, waardoor on-chain tegoeden direct risico lopen bij elke geïnfecteerde gebruiker die cryptotegoeden op zijn Mac beheert. Whale Alert bevestigde onafhankelijk dezelfde omvang van de campagne en meldt dat de nepdistributieketen van Maccy malware aflevert die zich richt op browsergegevens, Keychain, klembordinhoud en crypto wallet-informatie.
Waarom de timing ertoe doet voor cryptobezitters
De timing is ongelukkig. De totale cryptomarktkapitalisatie staat op $2.301,51 miljard, een stijging van 1,15% over 24 uur, maar de Fear & Greed Index staat op 24 — diep in Extreme Fear. BTC$80.965,00▼1,62% noteert op $64.291, een stijging van 2,19% op de dag. ETH$2.398,96▼2,00% staat op $1.813, een stijging van 1,85%. In angstige markten zijn houders vaak gevoeliger voor urgent ogende prompts en nepdownloads van hulpprogramma’s; het is een patroon dat kwaadwillenden in eerdere cycli herhaaldelijk hebben uitgebuit.
Geen zero-day nodig
Dat PamStealer leunt op nepdownloadsites in plaats van distributie via de app store, is op zichzelf al veelzeggend. macOS heeft ingebouwde notarisatie- en Gatekeeper-bescherming, maar gebruikers die deze beveiligingen handmatig omzeilen — of die worden verleid om hun wachtwoord in te typen om een ongesigneerd installatieprogramma te autoriseren — overhandigen de malware daarmee feitelijk hun eerste inloggegeven. Geen zero-day nodig. Geen geavanceerde exploit-keten. Alleen een overtuigende website en een gebruiker die bereid is zijn wachtwoord in te typen in een venster dat er echt genoeg uitziet.
Macworld, Digital Trends, Apple Insider en Whale Alert hebben allemaal onafhankelijk over de campagne bericht, wat zowel het bestaan als de omvang ervan bevestigt. Die convergentie suggereert dat de distributieoperatie actief en breed genoeg is om aandacht te hebben getrokken binnen de hele macOS-beveiligingsgemeenschap — dit is geen geïsoleerd incident.
Wat te doen als je getroffen bent
Voor gebruikers die Maccy of vergelijkbare hulpprogramma’s gebruiken, is het advies van onderzoekers helder: download alleen vanaf de officiële GitHub-repository van het project of geverifieerde distributiekanalen, behandel elke onverwachte wachtwoordprompt met argwaan en controleer of een installatieprogramma genotariseerd is voordat je inloggegevens invoert. De echte Maccy blijft een legitiem hulpprogramma. De dreiging schuilt in de kopie.
Mac-gebruikers die vermoeden dat ze getroffen zijn, moeten hun Mac-inlogwachtwoord als gecompromitteerd beschouwen, browsergegevens en door Keychain beschermde geheimen vervangen, en eventuele cryptocurrency wallet-keys die op de getroffen machine zijn opgeslagen, verplaatsen naar een schone, air-gapped omgeving.
Nadia Rahman
Nadia Rahman is marktenredacteur bij CoinScoop. Ze volgt bitcoin, macroliquiditeit en de spot-ETF-markt, en schreef eerder over rente en valuta voor een internationaal persbureau.