IT之家 7 月 3 日讯，恶意Jamf Threat Labs 于昨日（7 月 2 日）发布最新安全报告，软件详细披露了一种名为 PamStealer的披露苹果新型恶意软件。该恶意软件专门针对苹果 macOS 用户，针对通过伪装成知名的收私数剪贴板管理工具 Maccy，利用虚假网站进行分发和传播。集隐据

攻击原理与传播机制

PamStealer 的恶意核心传播手段是诱导用户下载并安装经过伪装的 AppleScript 应用。一旦用户执行该应用，软件恶意软件将采取以下步骤进行渗透：

1. 伪造授权提示：恶意应用会模仿 macOS 系统原生的披露苹果授权弹窗，欺骗用户输入管理员密码。针对
2. 验证凭据有效性：利用苹果系统的收私数 Pluggable Authentication Modules (PAM，可插拔认证模块)框架，集隐据在后台验证用户输入的恶意密码是否有效。
3. 筛选有效目标：Jamf 指出，软件攻击者利用这一机制剔除无效凭据，披露苹果从而精准锁定拥有有效管理员权限的用户，为后续数据窃取做准备。

技术特征与持久化

在正式运行核心载荷前，PamStealer 会执行环境侦察，检查系统特征、键盘布局及区域设置，以确保攻击环境的兼容性。随后，恶意应用将下载并执行 第二阶段 Rust 载荷，并建立系统持久化能力，确保恶意程序在重启后仍能运行。

数据窃取范围

第二阶段 Rust 载荷具备强大的数据收集能力，主要窃取目标包括：

• 浏览器数据：Cookie、浏览历史记录、已保存的登录凭据。
• 本地数据库：SQLite 数据库文件。
• 剪贴板内容：用户复制的文本或数据。
• 金融信息：加密货币钱包数据。

收集到的敏感信息将被加密，并通过命令与控制（C2）基础设施传输至攻击者服务器。

逆向分析难点

Jamf 强调，PamStealer 大量采用 Rust 语言开发。Rust 的特性使得部分字符串和代码路径在运行时才进行解析，这种动态解析机制显著增加了安全研究人员进行逆向工程和静态分析的难度，从而延长了恶意软件的潜伏期。