Jamf 公司揭示，PamStealer 攻击活动分为两个主要步骤。首先，攻击者创建了一个模仿 Maccy 官方网站的假冒网站。通过利用搜索引擎的付费广告推广，他们提高了该仿冒网站的排名，目的是诱导不知情的用户下载包含恶意软件的软件包。

一旦用户下载并执行了该恶意软件包，其中嵌入的 AppleScript 脚本会首先检查运行环境，以确认脚本并非在沙盒内执行。随后，它会利用 macOS 的 PAM（可插拔认证模块）认证机制，弹出一个系统自带的管理员密码输入框，要求用户输入其管理员凭据。

在用户输入管理员密码后，该软件包会从攻击者控制的服务器下载 PamStealer 恶意木马。这款木马使用 Rust 语言编写，并被设计成伪装成 macOS 的“访达（Finder）”应用程序。一旦运行，它便会窃取用户设备上的浏览器数据、加密货币钱包以及剪贴板等敏感信息。在收集并加密完这些数据后，木马会将信息发送到攻击者的服务器，为后续的勒索行为做准备。