Jamf 위협 연구소는 보고서를 발표했다 사용자가 발견한 새로운 악성코드에 대해 Maccy 타사 클립보드 관리자 당신은 그것을 알고 있어야합니다. “PamStealer”라고 명명된 이 악성 코드는 실제 Maccy 웹사이트를 사칭하는 악성 사이트에 의해 배포되며, 방문자가 합법적인 Maccy 파일을 받고 있다고 생각하도록 속이는 다운로드 가능한 파일을 사용합니다.

가짜 파일은 Maccy.scpt 합법적인 설치 프로그램 파일처럼 보이도록 설계되고 디스크 이미지에 배포되는 AppleScript 파일입니다. 스크립트가 실행되면 사용자에게 스크립트를 실행하라는 메시지가 표시되며, 그러면 Mac의 정보를 추적하여 위협 에이전트로 보낼 수 있는 페이로드가 트리거됩니다. PamStealer라는 이름은 이 악성코드가 macOS PAM(Pluggable Authentication Module)을 통해 피해자의 로그인 비밀번호를 검증하는 것을 의미합니다.

악성 파일 다운로드를 방지하려면 Maccy 고객은 maccy.app 웹사이트를 방문해야 합니다. 이 웹사이트의 면책 조항에 따르면 “maccy.app은 유일한 공식 사이트입니다.” 고객은 Maccy GitHub 웹사이트(https://github.com/p0deje/Maccy)를 방문할 수도 있습니다. 여기서는 “maccy.app이 유일한 공식 웹사이트입니다”라고 나와 있습니다.

Maccy는 클립보드 기록을 추적하는 무료 오픈 소스 클립보드 관리자입니다. Apple은 방금 클립보드 기록 추적기를 도입했습니다. macOS 타호 Spotlight를 통해 이러한 타사 관리자가 숙련된 사용자에게 인기가 있습니다. 그러나 Jamf가 설명했듯이 이 특정 위협의 전달 메커니즘은 이 특정 애플리케이션을 넘어서 광범위한 영향을 미칠 수 있습니다.

디스크 이미지와 AppleScript 기반 악성 코드는 macOS에서 잘 확립되어 있지만 PamStealer는 이를 흥미로운 방식으로 결합합니다. 다음과 같은 쉘 명령에 의존하기보다는 curl 또는 zshAppleScript는 기본 Objective-C API를 사용하여 페이로드를 가져오고 구성하는 독립형 JXA(JavaScript for Automation) 다운로더를 실행합니다. Rust 기반의 두 번째 단계와 PAM을 통해 로컬에서 자격 증명을 검증하는 암호 캡처 워크플로가 결합되어 결과적으로 상용 macOS 도둑에서 볼 수 있는 것보다 더 조용한 실행 체인이 탄생했습니다.

보고서는 공격이 사용자를 속이는 방법에 대해 더 자세히 조사하고 다음과 같이 결론을 내렸습니다. “이러한 행동은 macOS 제품 도둑이 어떻게 계속해서 진화하고 표준 macOS 기능과의 호환성을 유지하면서 전통적인 탐지 기회를 줄이는 더 조용한 실행 체인과 기본 구현을 채택하는지 보여줍니다.” »

악성코드로부터 자신을 보호하는 방법

맬웨어로부터 자신을 보호하는 가장 쉬운 방법은 알 수 없는 다운로드 사이트에서 소프트웨어를 다운로드하지 않는 것입니다. 알 수 없거나 예상치 못한 출처로부터 받은 이메일이나 텍스트의 링크를 절대 열지 마세요. 귀하와 거래하는 법인으로부터 발송된 것으로 보이는 메시지를 받은 경우, 발신자의 이메일 주소를 확인하고 URL을 주의 깊게 검사하십시오. 링크나 버튼이 보이면 컨트롤 클릭하고 링크 주소 복사를 선택한 다음 텍스트 편집기에 붙여넣어 실제 URL을 확인하고 확인할 수 있습니다.

Apple은 Mac App Store의 소프트웨어를 검토했으며 이것이 앱을 다운로드하는 가장 안전한 방법입니다. Mac App Store를 애용하지 않으려면 개발자와 해당 웹 사이트에서 직접 소프트웨어를 구입하십시오. 불법 복제 소프트웨어를 고집한다면 항상 악성 코드에 노출될 위험이 있습니다.

Macworld에는 바이러스 백신 소프트웨어가 필요한지 여부에이 Mac 바이러스, 맬웨어 및 트로이 목마 목록그리고 Mac 보안 소프트웨어 비교.