Jamf 公司指出，PamStealer 攻击活动分为两个阶段。攻击者首先创建一个模仿 Maccy 官方网站的假冒网站，并利用搜索引擎的付费广告推广该欺诈网站，旨在提高其在搜索结果中的排名，从而诱骗不知情的用户下载恶意软件。

一旦用户下载并运行了包含恶意软件的软件包，其中嵌入的 AppleScript 脚本会先检查运行环境，确保不在沙盒内运行。随后，脚本会利用 macOS 的 PAM（可插拔认证模块）认证机制，弹出系统自带的管理员密码输入框，要求用户提供其管理员密码。

在用户输入管理员密码后，该软件包会从攻击者控制的服务器下载 PamStealer 恶意木马。这款用 Rust 编写的木马会伪装成 macOS 的 Finder（访达）应用程序。运行后，它会搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感数据。在完成信息加密后，木马会将这些数据上传到攻击者的服务器，以便后续进行勒索活动。