پژوهشگران امنیت سایبری نسخه جدیدی از بدافزار PamStealer را شناسایی کرده‌اند که در آن، بازیابی Payload اصلی تنها از طریق یک زنجیره رمزگشایی در سمت سرور امکان‌پذیر است.
تغییر در مکانیزم تحویل و فریب
طبق گزارش Jamf Threat Labs، این بدافزار همچنان از مکانیزم Dropper مبتنی بر JavaScript for Automation (JXA) استفاده می‌کند، اما روش‌های جذب قربانی و تحویل کد تغییر کرده است. در نسخه‌های قبلی، کلیدهای رمزگشایی مستقیماً در سورس JXA قرار داشتند، اما در نسخه جدید، بدافزار ابتدا یک ابزار رمزگشایی اختصاصی را دریافت کرده و یک تبادل کلید (Key Exchange) با سرور انجام می‌دهد تا Payload باز شود.
این تغییر باعث می‌شود که بدون همکاری فعال سرور فرمانده (C2)، بازیابی استاتیک Payload غیرممکن باشد.
تغییر استراتژی جذب قربانی
در حالی که نسخه‌های جولای و آگوست ۲۰۲۶ از وب‌سایت‌های جعلی برای ابزارهای مدیریت کلیپ‌بورد مانند Maccy و Scoppr استفاده می‌کردند، اکنون قربانیان از طریق یک سایت جعلی به نام “wavel[.]app” که خدمات کیف پول ارز دیجیتال (Cryptocurrency Wallet) خیالی به نام Wavel را تبلیغ می‌کند، جذب می‌شوند.
- کاربر با کلیک بر روی دکمه دانلود، یک فایل Disk Image با نام “Wavel.dmg” را دریافت می‌کند.
- این فایل حاوی یک AppleScript کامپایل شده است که Script Editor سیستم را برای اجرای JXA Dropper فعال می‌کند.
- در این نسخه، لایه JXA تنها به عنوان یک حامل (Carrier) عمل کرده و یک رشته Base64 را رمزگشایی کرده و به
/bin/zsh -sمی‌فرستد تا اجرای بدافزار در پس‌زمینه ادامه یابد.
تحلیل فنی رمزگشایی و پایداری (Persistence)
به دلیل استفاده از کلید خصوصی در سمت سرور برای تکمیل فرآیند تبادل کلید، کلید رمزگشایی داده‌ها (DEK) بدون دسترسی به C2 قابل بازیابی نیست. همچنین، از آنجایی که در هر بار اجرا یک جفت کلید موقت (Ephemeral Keypair) جدید تولید می‌شود، مقادیر ضبط شده DEK برای استخراج محتوای Payload قابل استفاده مجدد (Replay) نیستند.
یکی از ویژگی‌های برجسته این نسخه، روش ایجاد پایداری در سیستم است. بدافزار اسکریپت‌های تعمیر را در پوشه‌های post-checkout و pre-commit در مسیر ~/Library/Application Support/System/.githooks/ کپی کرده و تنظیمات Git را تغییر می‌دهد. در نتیجه، هر عملیات git checkout یا git commit در هر مخزنی روی سیستم قربانی، باعث فعال‌سازی بی‌صدا (Silent) اسکریپت بدافزار می‌شود.
تغییر زبان برنامه‌نویسی و اهداف
مرحله نهایی این بدافزار، یک Stealer است که برخلاف نسخه‌های قبلی (که با Rust نوشته شده بودند)، اکنون با زبان Swift پیاده‌سازی شده است. این بدافزار علاوه بر مرورگرهای رایج، مرورگرهای تخصصی و متمرکز بر حریم خصوصی مانند Arc و Zen را نیز هدف قرار می‌دهد تا دام گسترده‌تری از داده‌های کاربران macOS را سرقت کند.
