Malware PamStealer para macOS evolui com descriptografia avançada de C2

Pesquisadores de cibersegurança do Jamf Threat Labs descobriram uma versão avançada do malware PamStealer especificamente direcionada a sistemas macOS. Esta iteração introduz melhorias significativas nas técnicas de evasão, incluindo descriptografia em tempo real de payloads de comando e controle que torna a análise estática extremamente difícil.

O malware continua a utilizar JavaScript for Automation (JXA) como seu principal mecanismo de entrega, mas agora incorpora métodos de distribuição aprimorados e iscas de engenharia social. Essas mudanças indicam um aumento na sofisticação das ameaças direcionadas ao macOS, algo que equipes de segurança corporativa precisam abordar por meio de capacidades aprimoradas de detecção e resposta.

Aprimoramentos Técnicos na Entrega do Payload

• O payload principal agora requer uma cadeia de descriptografia no lado do servidor para recuperação
• Versões anteriores embutiam o material da chave do payload diretamente no código
• A descriptografia em tempo real do C2 impede a análise estática dos componentes maliciosos
• Mecanismos de persistência multicamadas aumentam a dificuldade de remoção

Considerações sobre Detecção e Mitigação

• A detecção tradicional baseada em assinaturas pode falhar contra payloads descriptografados em tempo real
• Equipes de segurança devem monitorar padrões incomuns de execução de JXA
• O monitoramento de rede deve detectar temporizações anômalas de comunicação C2
• A detecção em endpoints deve sinalizar tentativas de instalação de persistência multicamadas
• A educação dos usuários é fundamental para identificar iscas atualizadas de engenharia social

Fontes

• PamStealer macOS Malware Adds Live C2 Payload Decryption and Multi-Layer Persistence