PamStealer :برمجية خبيثة تسرق بيانات مستخدمي macOS كيف يمكن تجنب الوقوع ضحيتها؟

برمجية سرقة معلومات تعتمد على موقع مزيف وانتحال تطبيق Maccy لخداع الضحايا

كشف مختبر أمن المعلومات Jamf Threat Labs عن برمجية خبيثة من نسق Infostealer تحمل اسم PamStealer، تستهدف مستخدمي نظام التشغيل macOS، وتعتمد على موقع إلكتروني مزيف ينتحل هوية تطبيق clipboard manager إدارة الحافظة Maccy لإقناع الضحايا بتنزيل ملف خبيث. وبعد تثبيت البرمجية، تستخدم نافذة تسجيل دخول مزيفة لنظام التشغيل macOS لسرقة بيانات الاعتماد، قبل أن تبدأ بجمع مجموعة واسعة من البيانات الحساسة المخزنة على الجهاز.

كيف تبدأ عملية الاختراق؟

بحسب تقرير خبراء أمن المعلومات في Jamf Threat Labs،  الموقع الإلكتروني المزيف الذي  ينتحل صفة تطبيق Maccy  - clipboard manager، يعتمد على مجموعة من مؤشرات الموثوقية لإضفاء طابع شرعي على عملية التنزيل.ويعرض الموقع نفسه باعتباره تطبيقًا مفتوح المصدر (Open Source)، وموقّعًا (Signed)، ومصادقًا عليه (Notarised)، ومصممًا للعمل على معالجات Apple Silicon، إلى جانب توفير زر لتنزيل ملف بصيغة"dmg." الخاصة بنظام التشغيل macOS. ما يؤدي إلى إقناع الضحايا بشرعيته ،وعند الضغط على زر التنزيل، يحمل المستخدم ملف خبيث، وما إن يفتحه حتى تُثبت برمجية PamStealerعلى جهاز الكمبيوتر الماك.

نافذة تسجيل دخول مزيفة لسرقة بيانات الاعتماد

بعد اكتمال التثبيت، تعرض البرمجية نافذة تسجيل دخول وهمية تحاكي نافذة المصادقة الخاصة بنظام macOS، وتطلب من المستخدم إدخال بيانات اعتماده بحجة المصادقة على تغييرات يجريها تطبيق Maccy.ولتنفيذ عملية سرقة البيانات، تجمع البرمجية مزيجًا بين لغة AppleScript، هي لغة برمجة نصية أنشأتها شركة آبل، تُسهل التحكم الآلي أو الأتمتة في تطبيقات نظام الماك. وبين حمولة برمجية مكتوبة بلغة Rust، بما يتيح لها فحص النظام وجمع البيانات المستهدفة.

تميُّز PamStealer عن البرمجيات الخبيثة الأخرى

أوضح خبراء أمن المعلومات في  Jamf Threat Labs أن البرمجية الخبيثة PamStealerتتميز بقدرتها على التحقق من صحة بيانات تسجيل الدخول قبل سرقتها، إذ تتحقق من صحة بيانات الاعتماد وترفض كلمات المرور غير الصحيحة، وهي سمة تميزها عن العديد من البرمجيات الخبيثة الأخرى التي تكتفي بتسجيل مدخلات المستخدم دون التحقق من صحتها.

ما البيانات التي تستهدفها البرمجية الخبيثة PamStealer؟

وفقا لتقرير خبراء مختبر أمن المعلوما Jamf Threat Labs تستهدف PamStealer   مجموعة من البيانات الحساسة، تشمل:

• ملفات تعريف الارتباط (Cookies) الخاصة برامج تصفح الويب.
•  سجل التصفح.
•  بيانات الاعتماد المحفوظة.
•  قواعد بيانات SQLite.، حيث تخزن قاعدة البيانات بالكامل التعريفات والجداول والفهارس والبيانات في ملف مستقل عن النظام الأساسي.
•  محتويات الحافظة (Clipboard).
•  بيانات محافظ العملات المشفرة.

كيف يمكن تجنب الوقوع ضحية PamStealer ؟

أوصى خبراء Jamf Threat Labs بعدم تنزيل البرامج من مواقع غير موثوقة، والاعتماد على التطبيقات الصادرة عن مطورين موثوقين أو تنزيلها عبر متجر آبل App Store.كما شددوا على أهمية التحقق من عنوان الموقع الإلكتروني قبل تنزيل أي برنامج، والحذر من طلبات المصادقة غير المتوقعة، مع التعامل بحذر شديد عند منح صلاحية Full Disk Access لأي برنامج جرى تثبيته حديثًا. هذا و دعا الخبراء إلى الحرص على تحديث نظام التشغيل macOS وبرامج الحماية بصورة مستمرة.

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@  وعلى ماستودون  وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي