Jamf 公司披露，PamStealer 攻击活动包含两个主要阶段。首先，攻击者创建了一个仿冒 Maccy 官方网站的虚假站点，并利用搜索引擎的付费广告推广该网站，从而提升其在搜索结果中的排名，吸引不知情的用户下载恶意软件。

当用户下载并运行了含有恶意软件的软件包后，其中包含的 AppleScript 脚本会先检查运行环境，确保并非在沙盒模式下执行。随后，脚本会利用 macOS 的 PAM（Pluggable Authentication Modules）认证机制，弹出一个系统自带的管理员密码输入界面，要求用户输入管理员凭据。

一旦用户输入了管理员密码，该软件包便会从攻击者控制的服务器下载 PamStealer 恶意木马。这款恶意软件使用 Rust 语言编写，能够伪装成 macOS 的“访达（Finder）”应用程序。运行后，它会搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感数据。收集并加密完成后，这些信息将被上传到攻击者的服务器，以便后续进行勒索。