PamStealer는 macOS용 정보 탈취 악성코드입니다. 주목할 점은 단순히 사용자를 속여 파일을 실행하게 만드는 데 그치지 않는다는 것입니다. 정상 앱처럼 보이는 배포 방식, macOS 인증 인터페이스 악용, 비교적 눈에 덜 띄는 실행 기법이 결합돼 있습니다.
시작점은 ‘가짜 Maccy’입니다
PamStealer는 Mac 클립보드 관리자 Maccy 사용자를 노립니다. 공격자는 실제 Maccy 웹사이트처럼 보이는 가짜 배포 사이트를 만들고, 디스크 이미지 안에 Maccy.scpt라는 AppleScript 파일을 넣어 배포했습니다.1
Maccy.scpt는 정상 설치 파일처럼 보이도록 위장됩니다. 사용자가 이를 실행하면 PamStealer 페이로드가 동작하고, Mac의 정보를 추적해 공격자에게 전송할 수 있습니다.1
여기서 중요한 판단 기준은 “낯선 파일인가”가 아니라 “정상 출처에서 받은 파일인가”입니다. 악성코드는 더 이상 낯선 이름으로만 오지 않습니다. 사용자가 이미 알고 있거나 검색으로 찾은 앱처럼 보일 때 경계심은 쉽게 낮아집니다.
PamStealer가 특이한 이유: 비밀번호를 검증한다
PamStealer라는 이름은 macOS의 PAM, 즉 Pluggable Authentication Modules와 관련이 있습니다. PAM은 로그인 인증 같은 절차에 쓰이는 macOS의 인증 인터페이스입니다.
이 악성코드는 사용자가 입력한 로그인 비밀번호를 단순히 훔치는 데서 끝나지 않습니다. PAM을 이용해 그 비밀번호가 실제로 맞는지 확인한 뒤 탈취 흐름을 이어갑니다.2
공격자에게는 쓸 수 있는 비밀번호만 골라내는 장점이 생깁니다. 방어자에게는 더 까다로운 문제입니다. PamStealer가 운영체제의 정상 기능을 악용해 더 조용하고 확실하게 움직이기 때문입니다.
탐지와 대응은 ‘명령어’보다 ‘흐름’을 봐야 합니다
Jamf 연구진은 PamStealer가 전통적인 curl이나 zsh 명령에 기대기보다 JXA 다운로더와 네이티브 Objective-C API를 사용한다고 설명했습니다. 여기에 Rust로 작성된 2단계 정보 탈취 페이로드가 결합됩니다.1
따라서 수상한 명령어 몇 개만 찾는 방식으로는 부족합니다. 다운로드 출처, 설치 과정의 안내 문구, 예기치 않은 관리자 비밀번호 요청, Full Disk Access 같은 권한 요청을 함께 봐야 합니다.
가장 실용적인 대응은 기본으로 돌아가는 것입니다. Maccy는 공식 사이트인 maccy.app 또는 공식 GitHub에서만 받아야 합니다.1 다른 앱도 마찬가지입니다. 검색 결과 상단에 보인다는 이유만으로 신뢰하지 말고, 주소와 배포 경로를 확인해야 합니다.
PamStealer의 교훈은 분명합니다. macOS 보안의 약한 고리는 기술만이 아니라 설치 순간의 판단입니다. “이 앱이 진짜인가”, “이 권한이 꼭 필요한가”를 묻는 습관이 가장 앞단의 방어선입니다.
1New malicious clipboard clone raises serious security concerns for Mac users
2New 'PamStealer' Mac Malware Double-Checks Your Password Before Stealing Your Data
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.