1. ICMacOS is malware die in september 2026 door onderzoekers van SOCRadar's Threat Research Unit werd geïdentificeerd. De malware, ook bekend als Icarus macOS, evolueerde van een tool voor het stelen van wachtwoorden en cryptocurrency wallet-gegevens naar een remote access trojan.
2. De malware wordt gepromoot door een Russischsprekende actor genaamd GlowComa. GlowComa adverteert ICMacOS op Russischsprekende cybercriminele forums, waaronder XSS, Exploit.in en Rehub, en gebruikt Telegram voor updates. De prijzen variëren van $699 per week tot $1.699 per maand.
3. Kopers ontvangen een beheerpaneel dat is geschreven in Go en MySQL gebruikt om records op te slaan. Dit paneel biedt inzicht in geïnfecteerde apparaten, gestolen wachtwoorden, cookies, bestanden en wallets. Gebruikers ontvangen ook Telegram-meldingen wanneer gestolen gegevens binnenkomen.
4. De infectie begint met zogenaamde ClickFix-pagina's die slachtoffers verleiden om malafide commando's in Terminal te plakken.
5. ICMacOS gebruikt een initieel Bash-script om een campagne-specifieke dropper te downloaden. Deze dropper wijzigt de Terminal-instellingen om vensterdetails te verbergen en toont een AppleScript-gegenereerd nep-dialoogvenster voor het 'Systeemvoorkeuren'-wachtwoord.
6. De malware test het ingevoerde wachtwoord door te proberen de login Keychain van de gebruiker te ontgrendelen, met maximaal vijf pogingen. Een succesvolle test geeft de malware toegang tot een geverifieerd wachtwoord voor toekomstig gebruik.
7. Het script bepaalt of de Mac Intel of Apple Silicon gebruikt om de juiste payload te downloaden. De hoofdpayload is een 64-bits Mach-O uitvoerbaar bestand, geschreven in Go.
8. De ontwikkelaar claimt ondersteuning vanaf macOS Sierra, maar de compatibiliteit met elke versie is niet vastgesteld.
9. Versie 1 van de malware controleert Russische taalinstellingen en het land van het publieke IP-adres van het apparaat om aanvallen in Rusland en de GOS-landen te vermijden.
10. De verzamelmodules van Versie 1 richten zich op browserwachtwoorden, cookies, geschiedenis, cryptocurrency wallets en wachtwoordmanagergegevens. Daarnaast worden ontwikkelaarsgerelateerde bestanden verzameld, waaronder AWS-credentials, Kubernetes-instellingen, SSH-sleutels, Git-credentials en omgevingsbestanden. ICMacOS kopieert ook berichten van Telegram, WhatsApp, Discord, Apple Messages, Apple Notes en Termius.
11. De malware probeert Keychain-inhoud te ontsleutelen met het vastgelegde wachtwoord en een ingebedde Go-bibliotheek. Als dit faalt, maakt het gebruik van de beveiligingstool van Apple en vraagt indien nodig om administratorgoedkeuring via nep-prompts.
12. Verzamelde bestanden worden gecomprimeerd in een verborgen ZIP-archief en via een HTTPS-verzoek geüpload.
13. Een aparte Python-payload breidt de gegevensverzameling uit naar VPN-profielen, Slack, Signal, Zoom, documenten in veelvoorkomende gebruikersmappen, en converteert browsercookies naar een formaat dat sessiekaping mogelijk maakt.
14. De nieuwere versie van ICMacOS, Versie 2, bevat extra controles op bestaande malwareprocessen en beschikbare privileges voordat persistentie wordt ingesteld.
15. Versie 2 installeert een LaunchAgent met een op Apple lijkende naam die de actieve gebruikerssessie blijft draaien. Deze configuratie bevat een terugvalinterval van 60 minuten, wat helpt bij het herstellen van de toegang als het proces stopt.
16. De malware creëert een persistente WebSocket-verbinding met behulp van de Gorilla WebSocket-bibliotheek. Commando's worden via de Unix-shell uitgevoerd en de uitvoer wordt in realtime teruggekoppeld.
17. Versie 2 verzamelt additioneel klembordtekst, Outlook-gegevens, Steam-bestanden, browser-autovulrecords en shellgeschiedenis.
18. De malware kan actief blijven, commando's uitvoeren en meer informatie verzamelen nadat de initiële gegevensdiefstal is voltooid, dankzij een live commandokanaal en een opstartmechanisme.
19. Ontwikkelaars lopen een verhoogd risico, aangezien gestolen cloud keys, SSH-credentials en projectgeheimen systemen buiten het geïnfecteerde apparaat bloot kunnen leggen.
20. Verdedigers worden geadviseerd om te letten op onverwachte wachtwoorddialoogvensters, verdachte Terminal-activiteit, verborgen tijdelijke archieven en nieuw aangemaakte LaunchAgents.
21. Bij een verdenking van infectie is het aan te raden om apparaten te isoleren, blootgestelde credentials opnieuw in te stellen vanaf een schoon systeem, en actieve sessies te beoordelen.