ICMacOS: o infostealer para Mac de 699 $ por semana que se tornou um trojan de acesso remoto

Um kit de malware para macOS conhecido como ICMacOS, também anunciado como Icarus macOS, está a ser alugado em fóruns clandestinos em russo por 699 $ por semana. Começou como um infostealer vulgar, mas a versão 2 esconde-se agora na máquina, sobrevive a reinícios e executa em tempo real os comandos enviados pelos operadores. Para uma plataforma em que muitos programadores e executivos confiam por defeito, é uma mudança relevante.

O que está à venda

O kit surgiu pela primeira vez em setembro de 2026 e foi documentado em detalhe em meados de outubro. O vendedor opera sob o pseudónimo GlowComa, um ator com motivação financeira ativo desde janeiro de 2026, e promove a ferramenta sob a bandeira de um grupo de afiliados dedicado ao esvaziamento de carteiras cripto chamado MADHASH.

O preço é o ponto central. A 699 $ por semana, o ICMacOS parece ser o stealer para macOS mais barato atualmente em oferta. Os preços históricos pedidos por outros stealers para Mac terão sido muito mais altos: AMOS à volta de 3.000 $ por mês, Banshee entre 1.500 $ e 3.000 $ por mês e MacSync entre 1.000 $ e 1.500 $ por mês. O preço baixo reduz a barreira de entrada para criminosos menos sofisticados, ainda que o vendedor tenha uma reputação mista no submundo, com várias disputas em fóruns por maus resultados e suporte lento.

Como começa uma infeção

A entrega é um isco clássico do tipo ClickFix. As vítimas chegam a uma página web falsa que as convence a copiar um comando e colá-lo no Terminal. Esse comando descarrega um script dropper que esconde a janela do Terminal e mostra uma caixa de diálogo falsa das Preferências do Sistema a pedir a palavra-passe de início de sessão do Mac.

O dropper não confia no que é escrito. Valida a palavra-passe contra o porta-chaves de início de sessão e permite até cinco tentativas antes de avançar. Depois identifica o hardware, Apple Silicon ou Intel, e descarrega o payload correspondente.

Versão 2: de stealer a acesso remoto

A versão 2 mantém todos os módulos de roubo e acrescenta uma ligação WebSocket persistente ao servidor do operador. Por esse canal, os criminosos podem enviar comandos que correm através de /bin/sh e receber o resultado de imediato. Na prática, o stealer tornou-se um trojan de acesso remoto.

A persistência é garantida por um LaunchAgent chamado com.apple.systemupdater.plist, escolhido para se confundir com componentes legítimos da Apple. O agente reinicia o malware se este for terminado e volta a executá-lo a cada 60 minutos como reserva.

O malware também evita certas vítimas. Verifica o idioma do sistema e a geolocalização do IP público e desliga-se em máquinas na Rússia e noutros países da CEI, um sinal comum de grupos com motivação financeira a operar a partir dessa região.

Porque é que os programadores devem preocupar-se

O ICMacOS recolhe uma grande variedade de dados: palavras-passe e cookies do navegador, carteiras de criptomoedas, 29 extensões de navegador, o conteúdo do porta-chaves e dados de mensagens do Telegram, WhatsApp e Discord.

A parte que deve preocupar as equipas de segurança é o foco nos programadores. O malware procura especificamente chaves SSH, configurações de AWS e Kubernetes, credenciais Git e ficheiros .env. São estes os segredos que transformam um único portátil comprometido num caminho para o código-fonte, para os ambientes cloud e, em última análise, para os clientes. Os Mac são a estação de trabalho por defeito de grande parte dos engenheiros e executivos, o que os torna um alvo invulgarmente rico para exatamente este tipo de recolha.

O que fazer

• Nunca cole no Terminal um comando copiado de um site, por mais convincente que a página pareça. A Apple avisa agora sobre alguns comandos colados de risco, mas a proteção não cobre todos os casos.
• Instale software apenas a partir de fontes verificadas e trate instruções inesperadas de "correção" ou "atualização" como hostis.
• Procure o artefacto de persistência. Verifique as pastas LaunchAgents dos utilizadores à procura de com.apple.systemupdater.plist e dos ficheiros ocultos de registo e preparação listados abaixo.
• Rode tudo o que um Mac de programador possa ter guardado: chaves SSH, chaves de acesso cloud, credenciais Kubernetes, tokens Git e segredos de ficheiros .env. Imponha credenciais de curta duração sempre que possível.
• Bloqueie os indicadores abaixo ao nível de DNS e proxy e carregue os hashes no seu EDR.

As credenciais roubadas por kits como este acabam normalmente revendidas nos mesmos mercados clandestinos onde o próprio malware é anunciado. A monitorização contínua da Deep/Dark Web, como a que a nossa equipa faz para os clientes, dá-lhe a oportunidade de detetar credenciais de programador e de cloud expostas e de as rodar antes que alguém as use.

Indicadores de compromisso

Todos os indicadores estão desativados (defanged). Restaure-os apenas dentro da sua plataforma de threat intelligence ou do seu SIEM.