شناسایی بدافزار جدید PamStealer با قابلیت سرقت اطلاعات در macOS

شناسایی بدافزار پیچیده PamStealer برای سیستم‌عامل macOS

پژوهشگران امنیتی بدافزار جدید و بی‌سابقه‌ای را برای سیستم‌عامل macOS کشف کرده‌اند که با بهره‌گیری از تکنیک‌های هوشمندانه، اقدام به سرقت اطلاعات کاربری می‌کند. این بدافزار که با نام PamStealer شناخته می‌شود، با ترکیب روش‌های مختلف، زنجیره اجرایی بسیار مخفیانه‌ای ایجاد کرده است.

ساختار دو مرحله‌ای و فریب‌کارانه

بدافزار PamStealer در دو مرحله توزیع می‌شود. مرحله نخست در قالب یک تصویر دیسک (Disk Image) ارائه می‌شود که خود را به عنوان Maccy، یک ابزار محبوب مدیریت کلیپ‌بورد در مک، جا می‌زند. این فایل در واقع یک AppleScript است که وظیفه بارگذاری مرحله دوم را بر عهده دارد.

نوآوری در سرقت اطلاعات

آنچه PamStealer را از سایر بدافزارهای مشابه متمایز می‌کند، استفاده از زبان برنامه‌نویسی Rust و بهره‌گیری از رابط Pluggable Authentication Modules (PAM) در macOS است. این بدافزار پیش از ارسال رمز عبور کاربر به سرور مهاجم، آن را به صورت محلی در سیستم اعتبارسنجی می‌کند تا از صحت آن اطمینان حاصل کند.

ویژگی‌های کلیدی بدافزار

• فرار از شناسایی: بدافزار با استفاده از تکنیک‌های خاص، ویژگی‌های امنیتی نظیر com.apple.quarantine را دور می‌زند.
• مخفی‌کاری: PamStealer خود را با نام‌های سیستمی نظیر Finder یا Software Update پنهان می‌کند.
• تأخیر در اجرا: بدافزار برای جلوگیری از هم‌زمانی با فرآیندهای سیستمی، درخواست‌های دسترسی به دیسک را تا چهل دقیقه به تأخیر می‌اندازد.
• هدف‌گیری دارایی‌ها: علاوه بر سرقت رمز عبور، این بدافزار حاوی کدهایی برای دسترسی به کیف پول‌های ارز دیجیتال اتریوم است.

بدافزار PamStealer با ترکیب یک روش توزیع نوظهور و یک بارگذاری‌کننده (Payload) کمتر شناخته‌شده، استانداردهای جدیدی در تکامل بدافزارهای مک ایجاد کرده است.

این تهدید امنیتی نشان می‌دهد که مهاجمان با اتخاذ زنجیره‌های اجرایی آرام‌تر و پیاده‌سازی‌های بومی، به دنبال کاهش فرصت‌های شناسایی توسط ابزارهای دفاعی هستند، در حالی که همچنان با ویژگی‌های استاندارد macOS سازگار باقی می‌مانند.