macOS 新型惡意軟件 PamStealer 現身：偽裝剪貼簿工具並利用 PAM 驗證密碼

偽裝熱門工具 Maccy 誘騙用戶下載

安全研究機構 Jamf Threat Labs 於 2026 年 7 月發布報告，揭露了一款針對 macOS 系統的新型惡意軟件，命名為「PamStealer」。這款惡意軟件主要透過偽造的網站進行傳播，將自身包裝成受歡迎的開源剪貼簿管理工具「Maccy」的磁碟映像檔（Disk Image）。當用戶下載並打開該檔案時，會看到一個編譯過的 AppleScript 腳本，而非正常的應用程式安裝程式。

為了規避 macOS 的安全檢查，攻擊者採用了心理戰術。惡意腳本會引導用戶在雙擊檔案後立即按下「Command-R」組合鍵。根據研究人員分析，這個動作會直接在 macOS 的「Script Editor」中執行惡意代碼，從而繞過系統對從互聯網下載的可執行文件所設置的 com.apple.quarantine（隔離）屬性，令系統不會彈出常見的安全警告。

利用 PAM 介面確保密碼準確性

PamStealer 最獨特之處在於其名稱的由來：它利用了 macOS 原生的「可插拔認證模組」（Pluggable Authentication Modules，簡稱 PAM）介面。傳統的惡意軟件通常只是單純彈出偽造視窗記錄用戶輸入，但 PamStealer 會在本地即時驗證用戶輸入的登入密碼是否正確。如果用戶輸入錯誤，軟件會反覆提示直到獲取正確密碼為止。這種做法確保了攻擊者傳回伺服器的憑證具備極高價值，避免了無效數據。

此外，該惡意軟件採用雙階段攻擊模式。第一階段的 AppleScript 並非使用常見的 shell 指令（如 curl 或 zsh）來下載後續組件，而是執行一個自包含的 JavaScript for Automation (JXA) 下載器，利用原生的 Objective-C API 進行操作。這種做法比一般的惡意軟件更難被傳統的資訊保安監控工具偵測。

延遲觸發與環境偵測技術

為了進一步隱藏行蹤，PamStealer 的第二階段載荷（Payload）是由 Rust 語言編寫，並展現出極高的隱蔽技巧。研究指出，該惡意軟件會偽裝成系統內建的 Finder 程序，並在後台靜默運行。為了防止用戶在安裝後立即察覺異常，它甚至會刻意延遲彈出「完整磁碟存取權」（Full Disk Access）的請求，有時甚至等待長達 40 分鐘，令用戶難以將該請求與剛安裝的軟件聯繫起來。

PamStealer 還具備強大的環境感知能力。它會檢查硬件是否為 Apple Silicon 機型，並會偵測是否處於虛擬機或分析環境中。如果發現自己正在被安全專家研究，它會主動停止運行。此外，該軟件還設置了地理過濾，會避開俄羅斯、白俄羅斯及哈薩克等地區的用戶，顯示出攻擊者具有明確的目標選擇性。

竊取範圍涵蓋密碼、錢包及剪貼簿

一旦成功感染並獲取權限，PamStealer 的竊取範圍非常廣泛。除了透過 PAM 獲取的系統登入密碼外，它還會掃描並竊取瀏覽器中儲存的帳號密碼與 Cookie、系統 Keychain（鑰匙圈）內的敏感資訊，以及加密貨幣錢包的相關數據。由於其偽裝成剪貼簿工具，它還會利用 pbpaste 指令持續監控用戶的剪貼簿紀錄，試圖從中獲取臨時複製的密碼或機密資料。

目前這款惡意軟件被歸類為「商品化惡意軟件」（Commodity Malware），意味著它可能在黑客圈中流通。專家建議 macOS 用戶應堅持從 Mac App Store 或開發者官方網站下載軟件，並對任何要求手動執行腳本或在非預期情況下索取系統密碼的行為保持高度警覺。若懷疑受感染，應檢查系統的「登入項目」是否有可疑程序，並使用專業的保安軟件進行全盤掃描。