Jamf 公司披露，PamStealer 恶意软件的攻击过程分为两个主要步骤。首先，网络攻击者创建了一个模仿 Maccy 官方网站的假冒网站，并通过搜索引擎的付费广告推广，以提高该虚假网站的排名，从而吸引不知情的用户点击并下载恶意软件安装包。

当用户下载并运行了该恶意安装包后，其中包含的 AppleScript 脚本会首先检查运行环境，确保其并非在沙盒中执行。随后，该脚本会利用 macOS 的 PAM（Pluggable Authentication Modules）认证系统，弹出一个系统原生的管理员密码输入框，要求用户提供其管理员账户的密码。

一旦用户输入了管理员密码，该安装包就会从攻击者控制的服务器下载 PamStealer 恶意木马。这款恶意木马使用 Rust 语言编写，能够伪装成 macOS 的文件管理工具“访达 (Finder)”。在启动后，它会搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感信息。在完成信息加密后，这些数据会被上传到攻击者的服务器，为后续的勒索行为做准备。值得注意的是，此类网络安全事件的发生，也提醒着我们在信息安全日益重要的今天，对包括世界杯2026在内的各类大型活动期间的网络防护需要格外重视。