ICMacOS: el infostealer para Mac de 699 $ a la semana que se convirtió en troyano de acceso remoto

Un kit de malware para macOS conocido como ICMacOS, anunciado también como Icarus macOS, se alquila en foros clandestinos en ruso por 699 $ a la semana. Nació como un infostealer corriente, pero su segunda versión ahora se oculta en el equipo, sobrevive a los reinicios y ejecuta en tiempo real los comandos que envían sus operadores. Para una plataforma en la que muchos desarrolladores y directivos confían por defecto, es un cambio relevante.

Qué se vende

El kit apareció por primera vez en septiembre de 2026 y fue documentado en detalle a mediados de octubre. El vendedor opera con el alias GlowComa, un actor con motivación financiera activo desde enero de 2026, y promociona la herramienta bajo el paraguas de un grupo de afiliados dedicado al vaciado de carteras cripto llamado MADHASH.

El precio es lo llamativo. A 699 $ a la semana, ICMacOS parece ser el stealer para macOS más barato en oferta actualmente. Los precios históricos de otros stealers para Mac han sido, al parecer, mucho más altos: AMOS en torno a 3.000 $ al mes, Banshee entre 1.500 $ y 3.000 $ al mes, y MacSync entre 1.000 $ y 1.500 $ al mes. El precio bajo reduce la barrera de entrada para delincuentes menos sofisticados, aunque el vendedor tiene una reputación irregular en el mundo clandestino, con varias disputas en foros por malos resultados y soporte lento.

Cómo empieza una infección

La entrega es un señuelo clásico de tipo ClickFix. Las víctimas llegan a una página web falsa que las convence de copiar un comando y pegarlo en Terminal. Ese comando descarga un script dropper que oculta la ventana de Terminal y muestra un diálogo falso de Preferencias del Sistema pidiendo la contraseña de inicio de sesión del Mac.

El dropper no se fía de lo que se escribe. Valida la contraseña contra el llavero de inicio de sesión y permite hasta cinco intentos antes de continuar. Después identifica el hardware, Apple Silicon o Intel, y descarga la carga útil correspondiente.

Versión 2: de stealer a acceso remoto

La versión 2 conserva todos los módulos de robo y añade una conexión WebSocket persistente con el servidor del operador. Por ese canal, los delincuentes pueden enviar comandos que se ejecutan a través de /bin/sh y recibir la salida de inmediato. En la práctica, el stealer se ha convertido en un troyano de acceso remoto.

La persistencia se gestiona con un LaunchAgent llamado com.apple.systemupdater.plist, elegido para camuflarse entre los componentes legítimos de Apple. El agente reinicia el malware si se detiene y lo vuelve a ejecutar cada 60 minutos como respaldo.

El malware también evita a ciertas víctimas. Comprueba el idioma del sistema y la geolocalización de la IP pública, y se apaga en equipos situados en Rusia y otros países de la CEI, una señal habitual de grupos con motivación financiera que operan desde esa región.

Por qué debería importar a los desarrolladores

ICMacOS recopila una amplia variedad de datos: contraseñas y cookies del navegador, carteras de criptomonedas, 29 extensiones de navegador, el contenido del llavero y datos de mensajería de Telegram, WhatsApp y Discord.

Lo que debería preocupar a los equipos de seguridad es su enfoque en desarrolladores. El malware busca específicamente claves SSH, configuraciones de AWS y Kubernetes, credenciales de Git y archivos .env. Esos son los secretos que convierten un único portátil comprometido en una vía hacia el código fuente, los entornos en la nube y, en última instancia, los clientes. Los Mac son la estación de trabajo por defecto de buena parte de ingenieros y directivos, lo que los convierte en un objetivo especialmente valioso para exactamente este tipo de recolección.

Qué hacer

• Nunca pegues en Terminal un comando copiado de una web, por convincente que parezca la página. Apple ahora avisa con algunos comandos pegados peligrosos, pero la protección no cubre todos los casos.
• Instala software solo desde fuentes verificadas y trata como hostiles las instrucciones inesperadas de tipo "arreglo" o "actualización".
• Busca el artefacto de persistencia. Revisa las carpetas LaunchAgents de los usuarios en busca de com.apple.systemupdater.plist y de los archivos ocultos de registro y preparación listados abajo.
• Rota todo lo que un Mac de desarrollador pudiera contener: claves SSH, claves de acceso a la nube, credenciales de Kubernetes, tokens de Git y secretos de archivos .env. Impón credenciales de corta duración siempre que sea posible.
• Bloquea los indicadores de abajo en la capa de DNS y proxy y carga los hashes en tu EDR.

Las credenciales robadas por kits como este suelen acabar revendidas en los mismos mercados clandestinos donde se anuncia el propio malware. La monitorización continua de la Deep/Dark Web, como la que nuestro equipo realiza para sus clientes, te da la oportunidad de detectar credenciales de desarrollador y de nube filtradas y rotarlas antes de que alguien más las use.

Indicadores de compromiso

Todos los indicadores están desactivados (defanged). Restáuralos solo dentro de tu plataforma de inteligencia de amenazas o tu SIEM.