ICMacOS: un infostealer pentru Mac care acum rămâne pe sistem ca troian de acces la distanță

ICMacOS (urmărit și ca Icarus macOS) a pornit ca un infostealer obișnuit pentru macOS: intră, ia parolele și portofelele crypto, apoi pleacă. Cercetătorii din Threat Research Unit al SOCRadar arată acum că o a doua versiune l-a transformat într-un troian de acces la distanță (RAT). Își instalează un mecanism de persistență și deschide un canal de comandă activ. Pentru echipele care lucrează mult pe Mac, mai ales cele de dezvoltare, o infectare nu mai înseamnă un furt de date punctual, ci o compromitere de durată.

Ce s-a întâmplat

SOCRadar a identificat ICMacOS în septembrie 2026 și și-a publicat analiza pe 12 octombrie. Malware-ul este vândut pe bază de abonament pe forumuri de criminalitate informatică vorbitoare de limbă rusă, de un actor care își spune GlowComa. Prețurile pornesc de la câteva sute de dolari și ajung la aproximativ 1.700 de dolari pe lună. Cumpărătorii primesc un panou web scris în Go, cu bază de date MySQL, pentru gestionarea Mac-urilor infectate și a datelor furate, plus alerte pe Telegram când sosesc date noi.

Cum sunt infectate victimele. Infectarea se bazează pe utilizator, nu pe o vulnerabilitate software. Momelile urmează tiparul ClickFix: o pagină web îl convinge pe vizitator să lipească o comandă în Terminal. Comanda descarcă un dropper specific campaniei, care:

• modifică setările Terminal ca să ascundă ce rulează, apoi folosește AppleScript pentru a afișa o fereastră falsă „System Preferences” care cere parola;
• verifică parola introdusă pe Keychain-ul de login, cu până la cinci încercări, ca atacatorii să știe că au o parolă validă;
• detectează dacă Mac-ul are procesor Intel sau Apple Silicon, descarcă payload-ul potrivit și îl pornește în fundal;
• închide Terminal și afișează un mesaj de eroare fals, configurabil de operator.

Ce fură. Payload-ul principal este un binar Mach-O pe 64 de biți, scris în Go. Versiunea 1 evită sistemele în limba rusă și mașinile din țările CSI. Colectează:

• parole, cookie-uri, istoric și date de completare automată din browser, plus date din managere de parole și portofele crypto;
• secrete de dezvoltator: credențiale AWS, configurații Kubernetes, chei SSH, credențiale Git și fișiere .env;
• date din Telegram, WhatsApp, Discord, Apple Messages, Apple Notes și Termius;
• conținutul Keychain, decriptat cu parola capturată, cu ferestre false suplimentare de administrator dacă e nevoie.

Un modul Python separat vizează și profiluri VPN, Slack, Signal, Zoom și documente. Convertește cookie-urile din browser într-un format pe care atacatorii îl pot refolosi pentru a deturna sesiuni. Totul este arhivat într-un fișier ZIP ascuns și trimis prin HTTPS.

Ce aduce versiunea 2. Noua versiune își verifică privilegiile și caută copii ale sale care rulează deja. Apoi instalează un LaunchAgent care se dă drept updater Apple (com.apple.systemupdater) și repornește la fiecare 60 de minute dacă este oprit. În plus, păstrează deschisă o conexiune WebSocket către server, prin care operatorul rulează comenzi shell pe Mac și vede rezultatul în timp real. Adaugă și colectarea clipboard-ului, a datelor din Outlook și Steam, a datelor de autocompletare și a istoricului shell.

De ce contează

• Secretele furate ajung dincolo de laptop. Un singur folder ~/.aws, un kubeconfig sau o cheie SSH furate pot deschide conturi cloud, clustere și servere de producție. Doar schimbarea parolelor de pe Mac nu închide acest acces.
• Persistența face curățarea mai grea. Înainte, curățarea însemna „rotim ce s-a furat”. Acum atacatorii pot avea încă un shell activ pe mașină.
• MFA nu oprește refolosirea cookie-urilor. Cookie-urile furate le pot permite atacatorilor accesul în conturi SaaS fără parolă și fără al doilea factor.
• ClickFix ocolește apărarea clasică. Nu e nevoie de niciun exploit. Utilizatorul rulează singur comanda, deci actualizările nu sunt suficiente.

Ce trebuie făcut

1. Instruiți utilizatorii despre ClickFix de acum. Niciun site real, CAPTCHA sau pas de „verificare” nu vă va cere vreodată să lipiți o comandă în Terminal. Tratați ca ostilă orice fereastră care cere parola imediat după rularea unei comenzi în Terminal.
2. Căutați artefactele cunoscute pe stațiile macOS:
   • ~/Library/LaunchAgents/com.apple.systemupdater.plist, care nu este un nume real de LaunchAgent Apple;
   • fișiere ascunse în /tmp, precum .update-helper.log, .cache-update.log, .update-tmp/ICMacOs.gz și .systemd-private-helper.zip;
   • osascript lansat din Terminal care afișează ferestre de parolă, precum și LaunchAgent-uri noi cu nume în stil Apple.
3. Blocați și generați alerte pentru indicatorii de rețea (dezactivați): escapeai[.]live (configurație, payload-uri, upload și C2 prin WebSocket), mikoblico[.]xyz, 85.137.253[.]61, 45.13.186[.]247.
4. Dacă găsiți o infectare, considerați toate credențialele compromise. Izolați Mac-ul. De pe un dispozitiv curat, rotiți cheile cloud, cheile SSH, token-urile Git și secretele din fișierele .env. Revocați sesiunile active și token-urile OAuth, apoi verificați jurnalele de audit din cloud și Git pentru utilizări abuzive.
5. Țineți cât mai puține secrete pe laptopuri. Preferați credențiale cloud temporare emise prin SSO, chei SSH stocate hardware și un manager de secrete în locul cheilor permanente din fișierele de configurare.
6. Folosiți MDM și EDR pe Mac-uri. Blocați crearea de LaunchAgent-uri necunoscute și urmăriți lanțurile de procese Terminal → curl/bash → osascript.

La 4Tify, evaluările noastre includ verificarea credențialelor expuse și a secretelor scurse. Familii de malware precum ICMacOS alimentează exact piețele de credențiale furate pe care aceste verificări sunt făcute să le depisteze.