Злоумышленники могут получить учетные данные из связки ключей. Связка ключей (Keychain) — это система управления учетными данными в macOS, которая хранит имена учетных записей, пароли, закрытые ключи, сертификаты, конфиденциальные данные приложений, платежные данные и защищенные заметки. Существует три типа связок ключей: "Вход", "Система" и "Локальные элементы" (iCloud). По умолчанию используется связка ключей "Вход", в которой хранятся пароли и данные пользователя. Связка ключей "Система" хранит элементы, используемые операционной системой, например элементы с общим доступом, размещенные на узле. Связка ключей iCloud используется для элементов, которые синхронизируются с облачным сервисом Apple iCloud.

Связки ключей можно просматривать и редактировать через приложение "Связка ключей" или с помощью утилиты командной строки security. Файлы связок ключей расположены в каталогах ~/Library/Keychains/, /Library/Keychains/ и /Network/Library/Keychains/.

Злоумышленники могут извлечь учетные данные пользователя из хранилища или памяти связок ключей. Например, команда security dump-keychain –d создаст дамп всех учетных данных, сохраненных в связке ключей "Вход" в каталоге ~/Library/Keychains/login.keychain-db. Злоумышленники также могут прочитать эти учетные данные непосредственно из файла ~/Library/Keychains/login.keychain. Оба метода требуют ввода пароля, причем по умолчанию паролем для связки ключей "Вход" является пароль текущего пользователя для входа в систему macOS.