Jamf 指出，PamStealer 攻击活动分为两个主要阶段。首先，攻击者建立了一个模仿 Maccy 官方网站的虚假站点，并通过搜索引擎的付费广告策略来提高该仿冒网站的排名，目的是诱导不知情的用户点击并下载包含恶意软件的安装包。

一旦用户下载并运行了该恶意安装包，其中嵌入的 AppleScript 脚本会首先检查运行环境，以确认脚本并非在沙盒模式下执行。随后，它会利用 macOS 的 PAM（可插拔认证模块）认证机制，弹出一个系统自带的管理员密码输入提示框，要求用户输入其管理员账户的密码。

在用户输入管理员密码后，该安装包会从攻击者控制的服务器下载 PamStealer 恶意木马。这款木马是用 Rust 语言编写的，它能够伪装成 macOS 的文件管理工具“访达（Finder）”。一旦运行，它会开始搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感数据。收集并加密完这些信息后，木马会将它们上传至攻击者的服务器，为后续的勒索行为做好准备。