גרסה חדשה ל-PamStealer ל-macOS מקשה על ניתוח באמצעות פענוח תלוי-שרת

חוקרי Jamf Threat Labs חשפו גרסה משודרגת של נוזקת הגנבת המידע PamStealer ל-macOS, המופצת דרך אתר מזויף המתחזה לארנק קריפטו בשם Wavel. החידוש המרכזי בגרסה: מטען התקיפה מוצפן כך שאי אפשר לפענח אותו בלי שיתוף פעולה חי מול שרת השליטה של התוקפים, מה שמקשה משמעותית על ניתוח סטטי של הנוזקה בידי חוקרים.

איור של מסך מחשב עם כספת נעולה מחוברת בחוט נתונים לשרת מרוחק

הפרטים

מי שמבקר באתר המזויף ולוחץ על "הורדה ל-macOS" מקבל קובץ תמונת דיסק ובו קובץ AppleScript מקומפל. הפעלתו פותחת את עורך הסקריפטים של אפל ומריצה קוד JXA (JavaScript for Automation) זדוני. בניגוד לגרסאות קודמות, שכללו את מפתח הפענוח בתוך קוד ה-JXA עצמו, הגרסה החדשה מורידה כלי ייעודי בשם pkgunpack ומבצעת איתו החלפת מפתחות X25519 מול שרת השליטה — כך שהמטען בשלב השני נשאר מוצפן עד לרגע שבו השרת בפועל משתף פעולה בפענוח.

לאחר הפענוח, הגרסה הנוכחית של הגנב (כתובה ב-Swift, לעומת Rust בגרסאות קודמות) אוספת פרטי כניסה השמורים ב-Keychain, סיסמאות מערכת דרך חלונות "קריסה" מזויפים המדמים בקשת אימות PAM לגיטימית, ונתוני התחברות מיותר מ-12 דפדפנים כולל Chrome, Firefox, Edge, Brave ו-Arc. הנוזקה אוספת גם קבצי תצורה כמו .zshrc ו-.gitconfig, היסטוריית מעטפת, ורשימת תהליכים ואפליקציות מותקנות.

נקודות לשים לב

הורידו תוכנות ארנק קריפטו רק מהאתר הרשמי המאומת של המוצר — לא מקישורים בפרסומות או מתוצאות חיפוש ממומנות.
אם התקנת אפליקציה פותחת את עורך הסקריפטים (Script Editor) של אפל במקום להתקין תוכנה רגילה — זהו סימן חד-משמעי לניסיון תקיפה, ואין לאשר את ההרצה.
בקשת סיסמת מערכת שמופיעה בהקשר לא צפוי, למשל מיד אחרי "קריסה" של אפליקציה — אל תזינו אותה, ובדקו את המחשב.
צוותי אבטחה בארגונים עם צי Mac יכולים לחסום את הדומיין wavel.apple03cloudstore.com ולנטר יצירת LaunchAgents חדשים ושינויים בקבצי zshrc או gitconfig.
מנגנון הפענוח החי מקשה על ניתוח קובץ בלבד — צוותי תגובה לאירועים צריכים ללכוד תעבורת רשת חיה כדי להבין את היקף הפגיעה, ולא להסתמך רק על בדיקת הקובץ שנתפס.