PamStealer, novo malware para Mac, se disfarça de carteira de criptomoeda e passa a cifrar carga pelo servidor
Nova versão troca a isca de apps utilitários para o site falso wavel[.]app e usa chaves X25519 do servidor para esconder a carga maliciosa da análise.
Uma nova versão do malware PamStealer, voltado para computadores com macOS, passou a exigir uma troca de chaves X25519 com o servidor do atacante para decifrar sua carga maliciosa, o que torna a análise do código muito mais difícil. A descoberta é da Jamf Threat Labs.
A mudança importa para quem usa Mac no Brasil e costuma buscar carteiras de criptomoeda ou pequenos aplicativos utilitários fora dos canais oficiais. Esse é o público que a campanha mira.
Por que você deve se preocupar
O PamStealer rouba a senha do sistema, credenciais salvas em navegadores muito usados no país e dados guardados no gerenciador de senhas do próprio macOS.
Segundo os pesquisadores, o programa consegue extrair informações de 13 navegadores baseados em Chromium e Firefox. Entre eles estão nomes populares por aqui:
- Chrome
- Firefox
- Edge
- Brave
- Arc
Se você guarda senhas de banco, e-mail ou exchanges dentro desses navegadores, todas ficam expostas caso o malware seja executado.
A senha do sistema é capturada por um truque simples e eficaz: um diálogo falso de crash aparece na tela pedindo que você digite a senha para continuar. A janela valida a credencial via PAM, o mesmo mecanismo real de autenticação do macOS, o que a faz parecer legítima. Qualquer aviso de erro que peça sua senha de administrador deve ser tratado como suspeito.
Como a isca mudou
Nas versões vistas em julho e agosto de 2026, o golpe se apoiava em aplicativos falsos que imitavam utilitários conhecidos, como Maccy, Scoppr e Nancy Clipboard.
Agora a fachada é outra: um site falso de carteira de criptomoeda chamado Wavel, hospedado no endereço wavel[.]app. A vítima baixa o que acredita ser o aplicativo da carteira e, ao abrir, entrega o controle da máquina.
O arquivo malicioso costuma vir em formato .dmg e, ao ser aberto, pode acionar o Script Editor pedindo a execução de um script. Esse comportamento é um sinal claro de que algo está errado.
Assim como acontece no novo malware para Android que se reinstala sozinho mesmo depois de apagado, o PamStealer também trabalha para não ser removido com facilidade: ele grava quatro métodos de persistência diferentes no sistema, de modo redundante.
O que ficou mais sofisticado por dentro
O ponto de entrada continua escrito em JXA, o JavaScript for Automation, técnica que já aparecia nas variantes anteriores.
A novidade técnica está no componente final, o módulo que de fato rouba os dados. Ele foi reescrito em Swift, a linguagem da própria Apple, deixando para trás a versão antiga feita em Rust.
A cifragem da carga via servidor é o detalhe mais relevante para quem analisa ameaças. Sem falar com o servidor do atacante, o código malicioso permanece embaralhado, o que atrapalha a inspeção dos arquivos parados no disco.
Como se proteger
A regra básica reduz muito o risco: baixe aplicativos apenas da App Store ou de sites oficiais que você já conhece.
- Desconfie de qualquer carteira de criptomoeda oferecida por um site novo ou desconhecido.
- Não execute scripts que um arquivo .dmg pedir para rodar ao abrir.
- Trate como golpe qualquer janela de erro que solicite sua senha de administrador.
Cuidado semelhante vale para outras plataformas. Vale conferir também as orientações sobre como blindar um canal do YouTube contra invasão e golpes de falsa parceria, que seguem a mesma lógica de nunca entregar credenciais fora dos canais oficiais.
Até o momento não há número divulgado de vítimas nem informação sobre a escala da campanha.
