# PamStealer: Когда ваш Mac сам становится пособником кражи - Site: VeraPoint News - Section: Новости - Date: 2026-07-05 - Canonical: https://verapointmedia.com/news/newly-discovered-pamstealer-isn-t-your-typical-macos-malware/ - Markdown: https://verapointmedia.com/news/newly-discovered-pamstealer-isn-t-your-typical-macos-malware.md - Summary: Новый macOS-вредонос PamStealer маскируется под популярную утилиту и использует системные функции для кражи паролей, обходя привычные защиты. - Tags: #macos #кибербезопасность #вредоносноепо #pamstealer #защитаданных #mac - Image: https://verapointmedia.com/static/content-assets/news/newly-discovered-pamstealer-isn-t-your-typical-macos-malware/cover.webp ## Sources - https://arstechnica.com/security/2026/07/new-pamstealer-macos-malware-uses-clever-tradecraft-to-remain-stealthy/ - https://news.google.com/rss/articles/CBMisgFBVV95cUxOdHFKaTM2blRVWWNQWEVTVkdfeEpjVUc3TEVmOG4xbGwxdjhQdGZ2MXQ3ZFRPOU8waTk1UXJQUjBUc1Y2bThxWkY3NTRkUm5UTFQxX3hicEg4N2FhQUJLTEoycU16M1c2cDZVSXM3cFAyaFptNlMyN1FPaGR4Qy1KYUZFazVrejE2ZU9peTJJOWJibDI4eV9RQUNqZXFkQTM1Q3piVG1YUEJXZmdpakJRSlZ3?oc=5 - https://news.google.com/rss/articles/CBMioAFBVV95cUxOS2NGUU5zTjFreHZRb0kzMDNtSVRuTmxLMklfY29WY0VvWUpRamlrVk9rQVB0MUgwenJadFVyem9yMUdMZ2pvTVg4T0dpLU4xLURpZUZyMlgyamNWY1B3SVNuSFpRdVowWTlSQnJaR1pUeXA4V0dzWFBDcUZ4bVRSbVd2elBoQl9lWTJxc1lWS2F1UFNlcS1hZm9xS01YRkVG?oc=5 - https://news.google.com/rss/articles/CBMigAFBVV95cUxQY0h1Z3lZZk5mTDBRLTJBbXlMZVFjLWxvcUVBYTVJR1ZjYUN1Y05fNkdlV2VLd2d3Sk16TWFBMW5nTUF1RGwteHVyV1JOdmRiX1NEckhyRjhFcVQ2V0hqT3hTdi1RcWRPa290eTRYNWluR0Q0SGVYTWNKUDR6TFo4cA?oc=5 --- На вашем Mac завёлся новый вид вредоноса, и он совсем не такой, как мы привыкли. Только представьте: тихоня PamStealer не просто крадёт ваши пароли, он для этого мастерски притворяется известным менеджером буфера обмена Maccy. Главная хитрость? Он использует для своих чёрных дел вполне легальные, встроенные функции самой операционной системы macOS. То есть, не ломает дверь, а проникает, играя по её собственным правилам. Если у вас Mac и вы скачивали программы не только из App Store, эта история — про вас. ## Привет, Maccy: маска для тихой охоты PamStealer — это не какой-то там вирус-хулиган, что кричит о себе на каждом углу. Это *инфостилер*, специально заточенный на кражу наших с вами учётных данных. И вот он теперь умеет так мастерски притворяться! Вы ищете удобный менеджер буфера обмена, и находите Maccy. Выглядит как надо, всё привычно. Но под этой милой личиной прячется хитрюга, призванная вытащить самое ценное — логины и пароли. ## Под капотом: как PamStealer обходит защиту И ладно бы просто притворился. PamStealer использует такие методы, что, честно говоря, вызывает искреннее удивление. Он не просто скачивает что-то подозрительное, а задействует целый набор инструментов, которые есть в самом macOS, но используются… ну, скажем так, не по назначению. Сначала вредонос приходит к вам в виде образа диска – это такой файл с расширением `.dmg`, который мы часто видим, когда устанавливаем что-то на Mac. А внутри него – не обычная программа, а AppleScript, да ещё и с JavaScript for Automation (JXA). Я погуглила, это значит, что он может использовать встроенные в систему штуки для автоматизации разных задач, и делает это так, чтобы быть максимально незаметным. Он как будто бы через служебный вход проникает, а не через парадный. А дальше — вообще фокус. Основная часть вредоноса написана на языке Rust. Языки программирования это сложно, но Rust известен тем, что на нём можно делать очень быстрые и "аккуратные" программы, которые трудно отследить. Вот это я называю уровнем! ## "Подождите, а это вообще нормально?" — или как вор сам себя проверяет А вот это меня больше всего удивило. PamStealer, перед тем как отправить ваши данные злоумышленникам, сначала *сам проверяет*, правильные ли логин и пароль он утащил. Как? Через интерфейс PAM в macOS. PAM — это Pluggable Authentication Modules, по-русски — такие модули, которые занимаются аутентификацией пользователей. Проще говоря, это как если бы вы ввели пароль, и система сама бы вам сказала: "Да, это он!" или "Нет, неправильно". И PamStealer, значит, пользуется этим, чтобы убедиться, что он украл именно то, что нужно. Серьёзно? Это как если бы вор сначала примерил украденную обувь, чтобы убедиться, что она точно подходит, прежде чем убегать. Ну и ну! ## Обходные пути и игры в прятки Чтобы окончательно запутать следы, PamStealer умеет обходить и стандартные защиты. Например, если вы запускаете его с помощью `Command-R` – а это такая команда, которую вредонос может вам *предложить* нажать, чтобы якобы "установить" программу – он может обойти `com.apple.quarantine`. Это, если совсем просто, такая встроенная в macOS метка, которая предупреждает вас о файлах, скачанных из интернета. Он её просто игнорирует. И заметьте, этот вор не спешит. Он может отложить запрос на полный доступ к диску (Full Disk Access) на целых 40 минут! А ещё он притворяется системным процессом, например, как будто это Finder, шифрует свой трафик, чтобы его не поймали на горячем. Это целый спектакль скрытности! ## Уроки тихих краж: что дальше? Эта история с PamStealer ясно показывает: даже на Mac, который многие по привычке считают почти неприступным, наша главная защита — это не только система, но и наша собственная внимательность. PamStealer — не просто новый вирус. Это напоминание: если что-то просит вас сделать непривычный шаг или предлагает "упростить" установку, например, через загадочное нажатие `Command-R` (а это, между прочим, встроенная функция `com.apple.quarantine`, которая как раз должна предупреждать о подозрительных файлах из интернета) — остановитесь и подумайте. Потому что верить в неприступность крепости, пока у воров есть ключи от чёрного входа, стало, кажется, неоправданной роскошью. И этот урок, похоже, придется выучить всем. ## Материалы - [Ars Technica] Newly discovered PamStealer isn't your typical macOS malware: https://arstechnica.com/security/2026/07/new-pamstealer-macos-malware-uses-clever-tradecraft-to-remain-stealthy/ - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMisgFBVV95cUxOdHFKaTM2blRVWWNQWEVTVkdfeEpjVUc3TEVmOG4xbGwxdjhQdGZ2MXQ3ZFRPOU8waTk1UXJQUjBUc1Y2bThxWkY3NTRkUm5UTFQxX3hicEg4N2FhQUJLTEoycU16M1c2cDZVSXM3cFAyaFptNlMyN1FPaGR4Qy1KYUZFazVrejE2ZU9peTJJOWJibDI4eV9RQUNqZXFkQTM1Q3piVG1YUEJXZmdpakJRSlZ3?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMioAFBVV95cUxOS2NGUU5zTjFreHZRb0kzMDNtSVRuTmxLMklfY29WY0VvWUpRamlrVk9rQVB0MUgwenJadFVyem9yMUdMZ2pvTVg4T0dpLU4xLURpZUZyMlgyamNWY1B3SVNuSFpRdVowWTlSQnJaR1pUeXA4V0dzWFBDcUZ4bVRSbVd2elBoQl9lWTJxc1lWS2F1UFNlcS1hZm9xS01YRkVG?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMigAFBVV95cUxQY0h1Z3lZZk5mTDBRLTJBbXlMZVFjLWxvcUVBYTVJR1ZjYUN1Y05fNkdlV2VLd2d3Sk16TWFBMW5nTUF1RGwteHVyV1JOdmRiX1NEckhyRjhFcVQ2V0hqT3hTdi1RcWRPa290eTRYNWluR0Q0SGVYTWNKUDR6TFo4cA?oc=5