Na rosyjskojęzycznych forach w dark webie pojawił się zestaw narzędzi ICMacOS (znany również jako Icarus macOS), który ewoluował z prostego narzędzia do kradzieży danych w zaawansowanego trojana typu RAT. Za około 699 dolarów tygodniowo przestępcy mogą uzyskać dostęp do systemów macOS, co czyni go jedną z najtańszych opcji tego typu na rynku.
Atak rozpoczyna się od socjotechniki polegającej na nakłonieniu użytkownika do skopiowania i wklejenia komendy do Terminala. Skrypt pobiera dropper, który wyświetla fałszywe okno preferencji systemowych proszące o hasło. Po jego przechwyceniu, złośliwe oprogramowanie rozpoznaje architekturę procesora (Apple Silicon lub Intel) i pobiera odpowiedni ładunek.
Najnowsza wersja malware wykorzystuje połączenia WebSocket, co umożliwia napastnikom przesyłanie komend wykonywanych przez /bin/sh w czasie rzeczywistym. Aby zapewnić sobie trwałość w systemie, wirus instaluje LaunchAgent o nazwie com.apple.systemupdater.plist, udając proces systemowy Apple. Mechanizm ten pozwala na automatyczne uruchamianie się złośliwego kodu co 60 minut.
ICMacOS jest szczególnie niebezpieczny dla programistów, ponieważ celuje w klucze SSH, poświadczenia AWS, Kubernetes, dane Git oraz pliki .env. Oprogramowanie kradnie również hasła przeglądarkowe, dane z Keychain, portfele kryptowalut oraz sesje z komunikatorów takich jak Telegram czy Discord. Co istotne, malware posiada mechanizm unikania wykrycia poprzez sprawdzanie lokalizacji IP i języka systemu, wstrzymując działanie w Rosji i krajach CIS.
