نسخه جدیدی از بدافزار جاسوسی اطلاعات (Infostealer) با نام PamStealer شناسایی شده است که از طریق یک اپلیکیشن جعلی کیف پول ارز دیجیتال توزیع می‌شود. این بدافزار با استفاده از یک زنجیره رمزگشایی متکی به سرور و Payload توسعه‌یافته با زبان Swift، اقدام به سرقت اعتبارنامه‌ها (Credentials)، داده‌های مرورگر، آیتم‌های Keychain و فایل‌های حساس کاربر می‌کند.
مکانیزم توزیع و عفونت
این کمپین با جعل هویت یک کیف پول چند-زنجیره‌ای (Multichain) به نام Wavel فعالیت می‌کند. فرآیند حمله از طریق وب‌سایت جعلی wavel[.]app آغاز شده و با کلیک بر روی گزینه دانلود برای macOS، یک فایل Disk Image (DMG) از دامنه y32me8[.]com دریافت می‌شود. این DMG حاوی یک فایل AppleScript با پسوند .scpt است که به دلیل ماهیت Finder در macOS، ممکن است به عنوان یک سند معمولی به نظر برسد.
تحلیل فنی و گریز از شناسایی
در این نسخه، عامل تهدید (Threat Actor) از متدهای پیشرفته‌تری برای دور زدن تحلیل‌های ایستا (Static Analysis) استفاده کرده است:
- استفاده از JXA: لایه اولیه از کد JXA برای رمزگشایی یک Blob بزرگ Base64 و اجرای آن در
/bin/zshاستفاده می‌کند تا روند تحلیل درخت فرآیندها (Process-tree) دشوار شود. - رمزگشایی متکی به سرور: بدافزار از تبادل کلید X25519 و الگوریتم AES-256-GCM برای باز کردن کلید رمزگشایی Payload استفاده می‌کند. از آنجایی که کلید خصوصی در سرور مهاجم قرار دارد، بازیابی Payload بدون یک نشست (Session) فعال با سرور C2 غیرممکن است.
- تغییر زبان توسعه: جایگزینی Payloadهای قدیمی مبتنی بر Rust با یک باینری Universal Swift Mach-O که هم از پردازنده‌های Apple Silicon و هم Intel پشتیبانی می‌کند.
ماندگاری و سرقت داده‌ها
بدافزار خود را در مسیر ~/Library/Application Support/System/Finder.app نصب کرده و با ایجاد یک LaunchAgent به نام com.apple.finder.agent، ماندگاری (Persistence) خود را تضمین می‌کند. همچنین برای جلوگیری از شناسایی، اعلان‌های مربوط به آیتم‌های پس‌زمینه macOS را با متوقف کردن فرآیندهای BTMNotificationAgent و Notification Center غیرفعال می‌کند.
ویژگی متمایز این بدافزار، استفاده از Pluggable Authentication Modules (PAM) است. بدافزار یک پنجره جعلی درخواست رمز عبور نمایش می‌دهد و سپس رمز وارد شده را به صورت محلی از طریق PAM اعتبارسنجی می‌کند تا اطمینان حاصل شود که اعتبارنامه‌های سرقتی معتبر هستند.
هدف‌ها و استخراج اطلاعات
PamStealer دیتابیس‌های ۱۷ مرورگر مختلف (از جمله Chrome, Edge, Brave, Firefox و Arc) را هدف قرار می‌دهد. علاوه بر این، داده‌های Keychain، تاریخچه Shell، پیکربندی Git و حتی عکس پروفایل کاربر را از طریق dscl استخراج می‌کند. داده‌های جمع‌آوری شده در یک آرشیو ZIP فشرده شده و با استفاده از یک هدر خاص X-Upload-Token به سرور مهاجم ارسال می‌شوند.
