Jamf 发布报告指出，PamStealer 病毒的攻击流程包含两个主要阶段。首先，攻击者会创建一个模仿 Maccy 官方网站的假冒网站。他们利用搜索引擎的付费广告推广该仿冒网站，以提高其在搜索结果中的排名，从而诱导不知情的用户点击并下载包含恶意软件的安装包。

一旦用户下载并执行了该恶意安装包，其中捆绑的 AppleScript 脚本会首先检查运行环境，以确认其并非在沙盒模式下运行。随后，脚本会利用 macOS 的 PAM（可插拔认证模块）认证功能，弹出一个系统自带的管理员密码输入框，要求用户提供其管理员账户的密码。

在用户输入管理员密码后，该安装包会从攻击者控制的服务器下载 PamStealer 恶意软件。这款恶意软件使用 Rust 语言开发，能够伪装成 macOS 的“访达（Finder）”应用程序。一旦运行，它就会搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感信息。在完成信息收集和加密后，这些数据会被发送到攻击者的服务器，为后续的勒索行为做准备。