Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

PamStealer macOS Malware Adds Live C2 Payload Decryption and Multi-Layer Persistence

1 minute de lecture

Mis à jour :

Évolution du malware macOS PamStealer : Chiffrement dynamique et persistance accrue

Une nouvelle variante du malware PamStealer a été identifiée, utilisant désormais une infrastructure de commande et contrôle (C2) pour protéger son chargeur utile par un échange de clés dynamique. Cette évolution rend l’analyse statique du logiciel malveillant quasi impossible sans accès au serveur de l’attaquant.

Points clés

  • Vecteur d’attaque : Le malware se propage via de faux sites web (ex: wavel.app) proposant des logiciels contrefaits. Le téléchargement déclenche un fichier .dmg contenant un script AppleScript/JXA.
  • Chiffrement côté serveur : Contrairement aux versions précédentes, le payload ne contient plus ses propres clés. Il doit se connecter à un serveur distant pour effectuer un échange de clés X25519 afin de décrypter son contenu.
  • Persistance multicouche : Le malware installe quatre méthodes de redémarrage automatique, incluant des LaunchAgents, des scripts de réparation, ainsi qu’un hook Git malveillant (core.hooksPath) qui réactive le malware lors de chaque opération Git.
  • Exfiltration étendue : Le nouveau stealer (développé en Swift) cible un large éventail de navigateurs (Chrome, Firefox, Arc, Zen, etc.), les trousseaux d’accès (keychain), les historiques de commandes et les données de configuration Git.

Vulnérabilités exploitées

  • Ingénierie sociale : Incitation au téléchargement de logiciels malveillants masqués sous des applications légitimes.
  • Mécanismes système macOS : Détournement des LaunchAgents, abus de l’intégration git hooks et falsification de boîtes de dialogue système pour dérober des mots de passe via PAM (Pluggable Authentication Modules).
  • Note : Aucune CVE spécifique n’est mentionnée, car le malware exploite les fonctionnalités légitimes de macOS à des fins malveillantes.

Recommandations

  • Prudence au téléchargement : Éviter de télécharger des applications en dehors de l’App Store ou des sites officiels des éditeurs.
  • Surveillance des processus : Être vigilant face aux demandes de mot de passe inattendues, particulièrement si elles surviennent après l’exécution d’un script ou d’un fichier téléchargé.
  • Configuration Git : Vérifier les configurations globales (git config --global core.hooksPath) pour s’assurer qu’aucun répertoire inhabituel n’est défini comme source de hooks.
  • Sécurité des terminaux : Utiliser des solutions de sécurité EDR capables de détecter les comportements suspects (comme la modification anormale des fichiers de configuration utilisateur ou l’exécution de scripts obscurs).

Source

Vous pourriez aimer