Da qualche giorno la comunità di sicurezza informatica tiene d’occhio PamStealer, un nuovo infostealer pensato per macOS che adotta un approccio insolitamente sofisticato: non raccoglie qualsiasi password digitata, ma solo quelle confermate dal sistema come corrette. Questo gli permette di restare sotto i radar e massimizzare il bottino senza generare rumore.
Come funziona PamStealer: il ruolo del PAM
PamStealer non è il solito malware che registra tasti o svuota il portachiavi di sistema. Il suo tratto distintivo è l’uso dei moduli PAM (Pluggable Authentication Modules), il meccanismo standard di autenticazione nei sistemi Unix e macOS. Il malware installa un proprio modulo PAM che si inserisce silenziosamente nel flusso di verifica delle credenziali. Quando un utente digita la password, ad esempio dopo l’avvio o per sbloccare le preferenze di sistema, il modulo di PamStealer intercetta i dati, li confronta con l’hash di sistema e, solo se la password è valida, la invia al server di comando e controllo. Se la password è sbagliata, non succede nulla. Questo filtro intelligente riduce la quantità di dati inutili e rende l’esfiltrazione meno appariscente.
Tecniche di persistenza e raccolta dati
PamStealer combina diversi linguaggi e strumenti per mantenersi attivo e allargare il raggio d’azione. Il suo nucleo è scritto in Python e C, e utilizza AppleScript per generare prompt ingannevoli che imitano richieste legittime del sistema. Tra i dati che cerca di raccogliere ci sono:
- credenziali di accesso ai browser (Chrome, Firefox, Brave, Edge);
- cookie e sessioni attive;
- wallet di criptovalute (MetaMask, Coinbase, Exodus e altri);
- contenuto del portachiavi iCloud;
- informazioni hardware e software del dispositivo.
La persistenza è garantita da agenti di lancio (LaunchAgents) che riavviano il malware a ogni login. Inoltre, per non destare sospetti, PamStealer può disattivare temporaneamente il prompt di autenticazione una volta ottenute le credenziali, in modo che la vittima non noti nulla di strano.
Come si diffonde e chi è a rischio
Al momento PamStealer è stato osservato in campagne mirate, veicolato attraverso immagini DMG compromesse spacciate per software legittimo (crack, keygen, tool per il trading o applicazioni piratate). Non si tratta di un attacco diffuso via email o exploit automatici, ma richiede che la vittima esegua manualmente il file. Questo lo rende più pericoloso per gli utenti abituati a scaricare programmi da fonti non ufficiali o per chi cerca versioni craccate di strumenti professionali. Il codice, analizzato dai ricercatori, mostra un’attenta progettazione e potrebbe essere venduto come servizio nel dark web, il che ne favorirebbe la diffusione.
Cosa significa per chi legge
Per chi usa un Mac, PamStealer è un campanello d’allarme: la sicurezza di macOS non è più una garanzia contro le minacce sofisticate. Ecco tre azioni concrete per ridurre i rischi:
- Scaricare software solo da fonti ufficiali: App Store o siti degli sviluppatori certificati restano la via più sicura. Evitare crack e keygen.
- Controllare i prompt di autenticazione: se compare una richiesta di password inaspettata, meglio annullare e verificare quale processo l’ha generata.
- Usare un antimalware aggiornato: molti strumenti per Mac iniziano a integrare firme specifiche per questo tipo di minacce. Monitorare regolarmente le autorizzazioni di sistema può aiutare a individuare moduli PAM sospetti.
In un panorama in cui gli attaccanti investono sempre più nei malware per dispositivi Apple, la prudenza e l’aggiornamento costante rimangono le difese migliori.