ICMacOS: stealer-ul pentru Mac de 699 $ pe săptămână care a devenit troian de acces la distanță

Un kit de malware pentru macOS cunoscut drept ICMacOS, promovat și sub numele Icarus macOS, este închiriat pe forumuri underground în limba rusă pentru 699 $ pe săptămână. A pornit ca un infostealer obișnuit, dar a doua versiune se ascunde acum în sistem, supraviețuiește repornirilor și execută în timp real comenzile trimise de operatori. Pentru o platformă în care mulți dezvoltatori și directori au încredere implicită, este o schimbare care contează.

Ce se vinde

Kitul a apărut prima dată în septembrie 2026 și a fost documentat în detaliu la mijlocul lui octombrie. Vânzătorul folosește pseudonimul GlowComa, un actor motivat financiar activ din ianuarie 2026, și promovează instrumentul sub umbrela unui grup de afiliați specializat în golirea portofelelor crypto, numit MADHASH.

Prețul este elementul central. La 699 $ pe săptămână, ICMacOS pare să fie cel mai ieftin stealer pentru macOS aflat în prezent la vânzare. Prețurile cerute istoric pentru alte stealere de Mac au fost, după cât se pare, mult mai mari: AMOS în jur de 3.000 $ pe lună, Banshee între 1.500 $ și 3.000 $ pe lună, iar MacSync între 1.000 $ și 1.500 $ pe lună. Prețul scăzut coboară pragul de intrare pentru infractori mai puțin sofisticați, chiar dacă vânzătorul are o reputație amestecată în underground, cu mai multe dispute pe forum legate de rezultate slabe și suport lent.

Cum începe o infecție

Livrarea se face printr-o momeală clasică de tip ClickFix. Victimele ajung pe o pagină web falsă care le convinge să copieze o comandă și să o lipească în Terminal. Comanda descarcă un script dropper care ascunde fereastra Terminal și afișează un dialog contrafăcut de System Preferences, în care cere parola de autentificare a Mac-ului.

Dropperul nu se mulțumește cu ce este tastat. Verifică parola în Keychain-ul de login și permite până la cinci încercări înainte de a merge mai departe. Apoi identifică hardware-ul, Apple Silicon sau Intel, și descarcă payload-ul corespunzător.

Versiunea 2: de la stealer la acces la distanță

Versiunea 2 păstrează toate modulele de furt și adaugă o conexiune WebSocket persistentă către serverul operatorului. Prin acest canal, infractorii pot trimite comenzi care rulează prin /bin/sh și primesc imediat rezultatul. Practic, stealer-ul a devenit un troian de acces la distanță.

Persistența este asigurată de un LaunchAgent numit com.apple.systemupdater.plist, ales ca să se confunde cu componentele legitime Apple. Agentul repornește malware-ul dacă este oprit și îl rulează din nou la fiecare 60 de minute, ca rezervă.

Malware-ul evită și anumite victime. Verifică limba sistemului și geolocația IP-ului public și se oprește pe mașinile din Rusia și din alte țări CSI, un indiciu frecvent pentru grupările motivate financiar care operează din acea regiune.

De ce ar trebui să le pese dezvoltatorilor

ICMacOS colectează o gamă largă de date: parole și cookie-uri din browsere, portofele de criptomonede, 29 de extensii de browser, conținutul Keychain și date de mesagerie din Telegram, WhatsApp și Discord.

Partea care ar trebui să îngrijoreze echipele de securitate este orientarea către dezvoltatori. Malware-ul caută în mod specific chei SSH, configurări AWS și Kubernetes, credențiale Git și fișiere .env. Acestea sunt secretele care transformă un singur laptop compromis într-o cale către codul sursă, mediile cloud și, în final, clienți. Mac-urile sunt stația de lucru implicită pentru o mare parte dintre ingineri și directori, ceea ce le face o țintă neobișnuit de valoroasă pentru exact acest tip de colectare.

Ce este de făcut

• Nu lipi niciodată în Terminal o comandă luată de pe un site web, oricât de convingătoare ar părea pagina. Apple avertizează acum la unele comenzi lipite riscante, dar protecția nu acoperă toate cazurile.
• Instalează software doar din surse verificate și tratează instrucțiunile neașteptate de tip „fix" sau „update" ca fiind ostile.
• Caută artefactul de persistență. Verifică folderele LaunchAgents ale utilizatorilor pentru com.apple.systemupdater.plist și fișierele ascunse de log și staging listate mai jos.
• Rotește tot ce ar fi putut conține un Mac de dezvoltator: chei SSH, chei de acces cloud, credențiale Kubernetes, tokenuri Git și secrete din fișierele .env. Impune credențiale cu durată scurtă de viață oriunde este posibil.
• Blochează indicatorii de mai jos la nivel de DNS și proxy și trimite hash-urile către EDR.

Credențialele furate de astfel de kituri ajung de obicei revândute pe aceleași piețe underground unde este promovat și malware-ul. Monitorizarea continuă a Deep/Dark Web-ului, pe care echipa noastră o derulează pentru clienți, îți dă șansa să identifici credențialele de dezvoltator și cloud scurse și să le rotești înainte să le folosească altcineva.

Indicatori de compromitere

Toți indicatorii sunt defangați. Restaurează-i doar în interiorul platformei de threat intelligence sau al SIEM-ului.