ICMacOS, znane również jako Icarus macOS, to nowo zidentyfikowane złośliwe oprogramowanie typu Malware-as-a-Service. Atak rozpoczyna się od socjotechniki opartej na metodzie ClickFix, co prowadzi do infekcji za pomocą skryptów Bash i binariów Mach-O. Pierwotnie narzędzie służyło głównie do kradzieży poświadczeń, portfeli kryptowalutowych oraz kluczy SSH, jednak nowsze wersje posiadają funkcjonalność RAT.
Malware wykorzystuje protokół WebSockets do utrzymywania komunikacji z serwerem dowodzenia (C2) w czasie rzeczywistym. W celu ukrycia swojej obecności, skrypt infekcyjny może próbować wymusić zamknięcie terminala użytkownika komendą killall Terminal, co ma na celu zatarcie historii poleceń i utrudnienie obserwacji procesu infekcji.
Zagrożenie dotyczy szczególnie deweloperów i użytkowników posiadających wrażliwe dane w chmurze, takie jak tokeny AWS czy poświadczenia Kubernetes. W przypadku wykrycia infekcji zaleca się izolację hosta, szczegółową analizę katalogu /tmp oraz LaunchAgents, a także natychmiastową rotację wszystkich skradzionych kluczy i haseł.
