PamStealer macOS Malware Adds Live C2 Payload Decryption and Multi-Layer Persistence
Cosa significa
PamStealer, un malware macOS, è stato aggiornato per utilizzare una catena di decrittazione server-side e persistenza multi-livello. L'attacco si basa su un dropper JXA che scarica un'utilità di decrittazione e esegue un'exchange di chiavi X25519. Il payload è protetto da una chiave privata server-side, rendendo difficile la decrittazione statica. La persistenza è garantita tramite LaunchAgent, script di riparazione e hook shell.
Perché conta
Per le PMI italiane, il rischio è elevato poiché il malware mira a rubare credenziali da browser e sistemi di autenticazione. La complessità del payload e la dipendenza dal C2 rendono difficile la rilevazione e la mitigazione, aumentando la vulnerabilità a attacchi mirati.
Azioni consigliate
- Applicare patch per macOS e componenti software
- Bloccare accesso a wavel.apple03cloudstore.com
- Monitorare attività di download e esecuzione di script zsh
- Ridurre l'accesso a repository Git e controllare hook personalizzati
- Implementare rilevamento di comportamenti anomali in Script Editor
- Eseguire backup regolari e verificare integrità dei file
- Configurare regole di firewall per limitare accessi a risorse esterne
Benefici operativi potenziali
- Riduzione della superficie esposta
- Maggiore visibilità su attività sospette
- Prevenzione di attacchi mirati
- Riduzione del rischio di furto di credenziali
Traduzione in elaborazione
Il contenuto ufficiale è disponibile nella lingua originale. La versione italiana verrà pubblicata al termine dei controlli automatici.
Testo acquisito dalla fonte
Cybersecurity researchers have flagged a new version of PamStealer that ensures that the main payload can only be recovered using a server-side decryption chain. The latest artifacts, per Jamf Threat Labs, continue to rely on the same JavaScript for Automation (JXA) dropper mechanism, but modify the lure and the delivery method. "Where earlier variants embedded their payload key material
- Fonte
- The Hacker News
- Entità pubblicatrice
- The Hacker News
- Tipo entità
- editorial osint
- Area
- Global
- Lingua originale
- en · traduzione in preparazione
- Pubblicazione
- 25/09/2026 15:18
- MITRE ATT&CK
- T1190, T1078, T1486