Jamf 披露，PamStealer 恶意软件的攻击流程包含两个主要步骤。首先，网络攻击者建立了虚假的 Maccy 官方网站，并通过搜索引擎的付费广告推广，以提升该仿冒网站的搜索排名，从而诱使不知情的用户访问并下载包含恶意软件的安装包。

一旦用户下载并运行了该恶意软件包，其中嵌入的 AppleScript 脚本会先进行环境检查，以确认其并非在隔离环境中运行。随后，脚本会利用 macOS 的 PAM 认证机制，弹出系统自带的管理员密码输入窗口，要求用户提供其管理员账户的密码。

在用户输入管理员密码后，该软件包会从攻击者控制的服务器下载 PamStealer 恶意木马。这款恶意软件采用 Rust 语言编写，能够模仿 macOS 的“访达（Finder）”应用程序。一旦运行，它会搜集用户设备上的浏览器数据、加密货币钱包信息以及剪贴板内容等敏感数据。在收集并加密完这些信息后，木马会将数据上传到攻击者的服务器，为后续的勒索活动做准备。