Le jardin clos d’Apple prend l’eau, et cette fois le trou porte un nom : PamStealer. Les chercheurs de Jamf ont détaillé un infostealer écrit en Rust qui vise spécifiquement les Mac équipés d’Apple Silicon, siphonne les données des navigateurs, des wallets crypto, du trousseau (Keychain) et du presse-papiers, puis s’installe durablement pour ne plus lâcher prise.
Points clés
- PamStealer est un infostealer en Rust ciblant les Mac Apple Silicon, repéré par Jamf
- Il se diffuse via de fausses pages imitant l’utilitaire open source Maccy
- Il détourne le mécanisme PAM pour intercepter le mot de passe de session
- Il vole données de navigateurs, wallets crypto, Keychain et presse-papiers, avec persistance
Un faux Maccy pour piéger l’utilisateur
La ruse repose sur de fausses pages imitant Maccy, un gestionnaire de presse-papiers open source populaire chez les utilisateurs macOS. L’internaute croit télécharger un utilitaire inoffensif et récupère à la place un binaire Rust taillé pour la rapine. Le choix de la cible n’a rien d’anodin : viser un logiciel connu et légitime, c’est jouer sur la confiance plutôt que sur une faille technique.
Le PAM détourné pour rafler le mot de passe
Le trait le plus vicieux de PamStealer tient à son abus du mécanisme PAM (Pluggable Authentication Modules), la brique système chargée de vérifier les identifiants. En s’y greffant, le malware intercepte le mot de passe de session de l’utilisateur au moment où il le saisit. Pas de fenêtre d’authentification factice bricolée à la va-vite : le vol se fait au coeur même du contrôle d’identité.
Avec ce sésame en poche, le reste devient une formalité. PamStealer part à la pêche dans les navigateurs, aspire les données de wallets de cryptomonnaies, ouvre le Keychain et surveille le presse-papiers. De quoi rafler mots de passe, cookies de session et clés privées d’un seul mouvement.
Persistance et cible haut de gamme
Le malware ne se contente pas d’une razzia ponctuelle : il assure sa persistance pour survivre aux redémarrages et rester actif sur la machine. Sa focalisation sur les puces Apple Silicon confirme que les auteurs visent le parc récent, celui des utilisateurs les plus susceptibles de manipuler des wallets et des données de valeur.
La leçon est aussi vieille que rentable : télécharger un logiciel, même open source et parfaitement légitime, en dehors de sa source officielle revient à jouer à la roulette russe. Vérifiez toujours le dépôt d’origine et méfiez-vous des pages de téléchargement qui sortent un peu trop bien classées d’une recherche.
