PamStealer는 macOS를 노리는 정보 탈취 악성코드로, 최신 버전에서 서버와 실시간 암호화 키 교환 없이는 악성 파일 자체를 분석조차 할 수 없도록 설계가 크게 바뀌었습니다. 피해자는 가짜 암호화폐 지갑 앱 사이트("wavel[.]app")를 통해 감염되며, 파일을 열면 사용자 모르게 4가지 방식으로 시스템에 뿌리를 내립니다. 감염 후에는 macOS 비밀번호, 키체인(macOS의 내장 비밀번호 저장소), Chrome·Firefox 등 주요 브라우저의 로그인 정보, 각종 개인 파일까지 광범위하게 훔쳐갑니다. Git을 사용하는 개발자 환경에서는 커밋·체크아웃 동작마다 악성 복구 스크립트가 자동 실행되어 제거가 더욱 어렵습니다. macOS 사용자, 특히 개발자와 암호화폐 이용자는 출처 불명의 dmg 파일 실행에 각별히 주의해야 합니다.
PamStealer macOS 악성코드의 새 변종이 발견됐다. 가짜 암호화폐 지갑 앱 사이트로 피해자를 유인해 디스크 이미지(.dmg) 파일을 실행시키고, 서버와의 실시간 X25519 키 교환을 통해서만 복호화되는 2단계 페이로드 구조를 채택했다.
감염 시 macOS 로그인 비밀번호, 키체인, 14종 이상의 브라우저 저장 자격증명, 쉘 히스토리·Git 설정 파일 등 민감 정보가 탈취된다. LaunchAgent·zshrc 훅·Git 훅 등 4중 영속성 메커니즘으로 제거가 매우 어렵다.
JXA(JavaScript for Automation) 드로퍼를 통한 사회공학적 배포와 서버 측 키 보관 방식 채택으로 정적 분석 및 오프라인 복호화가 불가능하다. 매 실행마다 새로운 임시 키 쌍이 생성돼 캡처한 키도 재사용할 수 없다.
Jamf Threat Labs가 분석 보고서를 공개했다. 현재 알려진 침해지표(IoC)로는 wavel[.]app 도메인과 wavel.apple03cloudstore[.]com C2 서버가 있다. 보안 팀은 해당 도메인 차단과 macOS 엔드포인트 탐지 룰 업데이트를 권고한다.
개발자 환경에서는 git config --global core.hooksPath 설정과 ~/Library/Application Support/System/.githooks/ 경로를 점검해야 한다. Script Editor로 실행 안내를 유도하는 dmg 파일은 즉시 의심해야 하며, 출처 불명의 암호화폐 관련 앱 다운로드를 금지하는 정책이 필요하다.
본문
Ravie Lakshmanan 2026년 9월 25일 | 악성코드 / 사회공학
사이버보안 연구자들이 PamStealer의 새로운 버전을 포착했다. 이 변종은 서버 측 복호화 체인을 통해서만 주요 페이로드를 복원할 수 있도록 설계됐다.
Jamf Threat Labs에 따르면 최신 샘플은 기존과 동일한 JXA(JavaScript for Automation) 드로퍼 메커니즘을 계속 사용하지만, 미끼 콘텐츠와 배포 방식이 변경됐다.
보안 연구원 Thijs Xhaflaire는 분석 보고서에서 "이전 변종은 페이로드 키 자료를 JXA 소스에 직접 내장했지만, 이제는 전용 복호화 유틸리티를 다운로드한 뒤 서버와 키 교환을 완료해야 페이로드를 풀 수 있다"며 "서버의 협력 없이는 페이로드를 정적으로 복원할 수 없다"고 설명했다.
두 번째 주요 변화는 미끼 대상의 선택이다. 2026년 7월·8월에 관찰된 이전 변종들이 Maccy, Scoppr, Nancy Clipboard를 사칭한 가짜 사이트를 이용했다면, 이번 변종은 "Wavel"이라는 실제로 존재하지 않는 암호화폐 지갑 서비스를 홍보하는 가짜 사이트("wavel[.]app")로 피해자를 유인한다.
해당 가짜 사이트에서 "Download for macOS" 버튼을 클릭하면 컴파일된 AppleScript 파일이 담긴 디스크 이미지 파일("Wavel.dmg")이 내려받아진다. 파일을 열면 Apple의 기본 내장 앱인 Script Editor가 실행되며, JXA 드로퍼를 실행하라는 안내가 표시된다.
Xhaflaire는 "Maccy, Scoppr, Nancy 변종에서는 JXA 소스가 내장된 페이로드를 RC4 방식으로 복호화하고, JXA의 Foundation 및 NSData 브리지를 통해 Objective-C 프레임워크를 호출하며, 전체 다운로드·스테이징 과정을 관리했다"고 설명했다.
"반면 Wavel 변종에서 JXA 소스에는 그런 코드가 전혀 없다. JXA 레이어 전체가 단순 전달자 역할만 한다. Script Editor가 파일을 실행하면 base64 문자열을 디코딩해 결과를 /bin/zsh -s로 파이프한다. zsh는 표준 입력에서 디코딩된 바이트를 읽어 실행한다. JXA 프로세스는 즉시 종료되고, zsh 드로퍼가 백그라운드에서 계속 실행된다."
디코딩된 zsh 스크립트는 다음 동작을 수행하며 감염을 진행한다 —
- "wavel.apple03cloudstore[.]com"에서 "pkgunpack" 복호화 유틸리티를 내려받아 실행
- X25519 키 교환 수행
- 페이로드 번들 복호화 및 스테이징
- 새 백그라운드 로그인 항목 추가 시 사용자에게 표시되는 macOS 알림 억제
- LaunchAgent, 페이로드 번들과 LaunchAgent가 없을 경우 복원하는 복구 zsh 스크립트, 새 인터랙티브 zsh 세션마다 복구 스크립트를 실행시키는
~/.zshrc셸 훅을 통한 4중 영속성 설치 - 스테이징 디렉터리를 ZIP 아카이브 형태로 폴링 및 업로드
서버가 키 교환을 완료하는 개인 키를 보유하므로, 서버 없이는 DEK(Data Encryption Key, 데이터 암호화 키)를 복원할 수 없어 페이로드를 복호화하는 것이 불가능하다. 더불어 실행할 때마다 새로운 임시 키 쌍이 생성되므로, 캡처된 DEK 값으로 페이로드 내용을 추출하는 재사용 공격도 통하지 않는다.
그 결과, 암호화된 페이로드는 라이브 C2(명령·제어 서버) 세션에 접근하지 못하면 정적 분석이 사실상 불가능하다.
임시 키 생성과 라이브 DEK 교환
또한, 복구 스크립트는 ~/Library/Application Support/System/.githooks/ 내 "post-checkout" 및 "pre-commit" 폴더에 복사되며, Git 설정 옵션 git config --global core.hooksPath가 해당 디렉터리로 지정된다. 이로 인해 감염된 시스템의 어떤 저장소에서든 git checkout 또는 git commit 동작을 수행하면 복구 스크립트가 자동으로 실행된다.
최종 단계는 Swift로 작성된 정보 탈취 컴포넌트로, 이전 버전이 Rust로 구현된 것과는 다르다. 프로그래밍 언어가 바뀌었지만 목적은 동일하다 —
- 가짜 크래시 대화상자를 띄워 시스템 비밀번호를 탈취하고, PAM(Pluggable Authentication Modules, 플러그형 인증 모듈) 기반 검증으로 입력 정보를 대조
- 키체인 항목 열거 및 수집
- Google Chrome, Microsoft Edge, Mozilla Firefox, Brave, Vivaldi, Opera, Opera GX, Arc, Zen, Waterfox, LibreWolf, Yandex Browser, Cốc Cốc 등 Chromium 및 Firefox 계열 브라우저에서 자격증명 탈취
- 시스템 핑거프린팅 및 광범위한 메타데이터·사용자 프로필 사진 수집
.zsh_history,.zshrc,.bash_history,.gitconfig등 사용자 파일 수집- 실행 중인 프로세스 및 설치된 애플리케이션 목록 수집
Xhaflaire는 "Arc, Zen, 그리고 비교적 알려지지 않은 지역 특화·프라이버시 중심 브라우저의 포함으로, 일반적인 macOS 스틸러의 대상 범위를 눈에 띄게 넘어선다"고 지적했다.
"이번 PamStealer 변종은 배포 인프라에 상당한 투자가 이루어졌음을 반영한다. pkgunpack 유틸리티는 페이로드 복호화를 서버 가용성에 묶는 라이브 키 교환을 도입했다. C2의 협력 없이는 2단계 페이로드를 복호화할 수 없다. 이 설계는 페이로드의 정적 복원을 훨씬 어렵게 만들고, 운영 제어권의 일부를 서버 운영자 측으로 이전한다."
