ICMacOS крадёт данные с компьютеров Mac через поддельный запрос пароля

ICMacOS, также известная как Icarus macOS, это платформа вредоносного ПО как услуги для macOS, которую рекламирует русскоязычный злоумышленник GlowComa. Для распространения используют страницы социальной инженерии в стиле ClickFix: они побуждают жертв скопировать команду и выполнить её в Терминале. Вредоносное ПО крадёт данные, а его вторая версия получила функции троянской программы удалённого доступа.

Загрузка и сбор данных

Bash-дроппер загружает компонент следующего этапа, скрывает видимую активность Терминала и показывает поддельное окно запроса пароля в «Настройках системы» macOS. Введённый пароль проверяется по локальной Связке ключей жертвы. Затем дроппер загружает и запускает конечную полезную нагрузку. Для определения архитектуры компьютера он выполняет команду uname -m и доставляет полезную нагрузку в формате ARM64 или AMD64.

Основная полезная нагрузка это 64-разрядный исполняемый файл Mach-O, написанный на Go. Она собирает данные из браузеров и других приложений, в том числе:

• учётные данные браузеров, файлы cookie и историю просмотров;
• данные менеджеров паролей и файлы криптографических кошельков;
• сессии Telegram, токены Discord, базы данных WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta), данные iMessage и заметки Apple;
• профили AWS, файлы конфигурации Kubernetes, учётные данные Docker, токены GitHub CLI, закрытые ключи SSH, файлы .env и историю командной строки.

Для разбора и расшифровки файлов login.keychain-db в macOS ICMacOS использует открытую библиотеку keychainbreaker, если известен пароль входа жертвы. Если разобрать Связку ключей офлайн не удаётся, вредоносное ПО обращается к штатной утилите macOS security и показывает ещё одно поддельное уведомление. Оно предназначено для получения одобрения на выполнение операции с правами администратора.

Закрепление и выявление

Вторая версия ICMacOS расширяет возможности стиллера и добавляет функции троянской программы удалённого доступа. Для закрепления она использует LaunchAgent с именем com.apple.systemupdater.plist, имитирующим легитимный компонент Apple. В конфигурации указаны параметр KeepAlive и запланированный интервал перезапуска. Они обеспечивают запуск ВПО после его завершения и при каждом входе пользователя в систему.

К индикаторам обнаружения относятся:

• неожиданный запуск Терминала или процесса osascript;
• поддельные диалоговые окна аутентификации;
• недавно созданные пользовательские LaunchAgents;
• запуск ВПО из каталога /tmp;
• исходящие соединения с неизвестными доменами или конечными точками WebSocket.

Авторы отчёта рекомендуют обновить скомпрометированные учётные данные разработчиков и облачных сервисов, а также другие скомпрометированные учётные данные, и исследовать затронутые хосты.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.