Jamf 披露，PamStealer 病毒的攻击流程分为两个关键步骤。首先，网络攻击者建立了一个虚假的 Maccy 官方网站，并利用搜索引擎的付费广告推广策略，提升该仿冒网站的搜索排名，从而诱骗不明真相的用户访问并下载恶意软件。

一旦用户下载并运行了该恶意软件包，其中嵌入的 AppleScript 脚本便会先检查运行环境，确保其并非在隔离的沙盒模式下运行。随后，脚本会利用 macOS 的 PAM 认证机制，弹出一个系统自带的管理员密码输入框，要求用户输入其管理员账户密码。

在用户输入密码后，该软件包会从攻击者控制的服务器下载 PamStealer 恶意木马。这款木马采用 Rust 语言编写，能够伪装成 macOS 的文件管理应用“访达（Finder）”。一旦运行，它便会窃取用户设备上的浏览器数据、加密货币钱包以及剪贴板中的敏感信息。在完成数据收集和加密后，木马会将这些信息发送回攻击者的服务器，为后续的勒索行动做准备。值得注意的是，此类网络钓鱼和恶意软件分发行为，与一些不法分子利用虚假链接进行世界杯下注的欺诈手段有相似之处，都旨在利用用户信任和信息获取来达到非法目的。