PamStealer utgir seg for å være et vanlig Mac-verktøy

Jamf Threat Labs rapporterer at PamStealer er en macOS-infostealer som utgir seg for å være det legitime utklippsverktøyet Maccy. Den bruker en falsk AppleScript-basert app til å installere en nyttelast skrevet i Rust, som stjeler pålogginger, nettleserdata, informasjon knyttet til nøkkelringen og innholdet i utklippstavlen, samtidig som den utgir seg for å være systemkomponenter som Finder. Skadevaren viser også falske macOS-dialoger for å fange opp brukerens passord og be om full diskrettighet, noe som gjør den vanskeligere å oppdage og gir angriperen enklere tilgang til sensitive data.

Hva det betyr for virksomheten

Mac-maskiner behandles fortsatt i mange virksomheter som noe som ikke helt trenger den samme oppfølgingen som Windows. Denne saken viser hvorfor det ikke holder. Angrepet lykkes fordi de falske dialogene ser ut som dem brukerne godkjenner hver uke uansett. Når nøkkelring og utklippstavle er tømt, sitter angriperen med pålogginger til alt den ansatte har tilgang til, og ikke noe av det krevde en sårbarhet.

Berigo anbefaler

• Ta Mac-maskiner inn i samme enhetsadministrasjon og endepunktsovervåkning som øvrige klienter.
• Begrens installasjon til godkjente programmer, og bruk sentral distribusjon i stedet for at ansatte laster ned selv.
• Lær opp ansatte i at macOS aldri ber om passordet i en tilfeldig dialog for å gi full diskrettighet.
• Tilbakestill pålogginger for alle tjenester en berørt bruker hadde tilgang til, ikke bare den lokale kontoen.

Kilde

• jamf.com