ICMacOS для macOS получил функции удалённого доступа

ICMacOS, также известный как Icarus macOS, рекламируют на русскоязычных форумах даркнета. Его продвижением занимается GlowComa, финансово мотивированный актор, действующий с января 2026 года в рамках аффилированной группы MADHASH, специализирующейся на выводе криптовалютных средств. ICMacOS эволюционировал из стиллера данных в инструмент с функциями удалённого доступа.

Заражение начинается с поддельных веб-страниц, которые побуждают жертву скопировать и вставить команду в Терминал. Команда загружает дроппер. Он скрывает окно Терминала и показывает поддельное окно системных настроек (System Preferences) с запросом пароля пользователя. Дроппер проверяет введённый пароль через Связку ключей для входа, допускает не более пяти попыток, определяет, установлен ли на Mac процессор Apple Silicon или Intel, и загружает соответствующую полезную нагрузку.

Вторая версия сохраняет функции кражи данных и устанавливает постоянное соединение WebSocket с сервером операторов. Через него операторы могут выполнять команды с помощью /bin/sh и получать их вывод в режиме реального времени. ICMacOS также устанавливает агент запуска com.apple.systemupdater.plist. Вредоносное ПО перезапускается при остановке и повторно запускается каждые 60 минут как резервный механизм.

ICMacOS нацелен на пароли и файлы cookie браузеров, кошельки для криптовалют, 29 расширений браузеров, данные Связки ключей, а также Telegram, WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) и Discord. Кроме того, он ищет секреты разработчиков, включая ключи SSH, конфигурации AWS и Kubernetes, учётные данные Git и файлы .env.

Чтобы не заражать определённых пользователей, вредонос проверяет системный язык и местоположение по публичному IP-адресу. На системах в России и других странах СНГ он прекращает работу.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.