Хакери продават троянски кон за отдалечен достъп ICMacOS за 699 долара седмично срещу потребители на Mac

Киберпрестъпници продават комплект за зловреден код за Mac, който може много повече от кражба на пароли. Инструментът, наречен ICMacOS или Icarus macOS, се предлага за 699 долара седмично в рускоезични форуми в дълбоката мрежа.

Започва като обикновен крадец на данни, но по-новата му версия може да остава скрита на Mac, да оцелява след рестартиране и да изпълнява команди, изпратени от неговите оператори.

Threat Research Unit на SOCRadar за първи път идентифицира зловредния код през септември 2026 г. и публикува подробен доклад на 12 октомври.

Продавачът използва името GlowComa – финансово мотивиран атакуващ, активен от януари 2026 г., който рекламира инструмента под знамето на афилиейт групата за източване на криптовалути MADHASH.

За повече контекст за развитието на заплахата прочетете нашия подробен доклад за еволюцията на ICMacOS, който обяснява всяка промяна по ред.

Изследователи от Moonlock Lab също отбелязват, че ICMacOS е най-достъпният крадец на данни за macOS, продаван в дълбоката мрежа. Публикацията на Moonlock, която цитира SOCRadar, сравнява цената с тази на други заплахи за Mac.

Съобщава се, че AMOS се продава за 3000 долара месечно, Banshee – за 1500 до 3000 долара месечно, а MacSync – за 1000 до 1500 долара месечно.

Тези стойности се основават на исторически докладвани цени. Продавачът има и смесена репутация в подземния пазар, с няколко спора в Exploit.in заради слаби резултати и бавно обслужване.

Хакери продават троянски кон за отдалечен достъп ICMacOS

Заразяването започва с фалшиви уеб страници, които подвеждат жертвите да копират команда и да я поставят в Terminal. Командата изтегля скрипт-дроппер, който скрива прозореца на Terminal и показва фалшиво съобщение на „System Preferences“ с искане за парола за вход.

Дропперът проверява паролата спрямо Keychain за входа и позволява до пет опита. След това проверява дали Mac използва Apple Silicon или Intel и изтегля съответния зловреден код.

Този стил на подвеждане е подобен на кампанията с фалшиво почистване на диска, която изследователи на Microsoft следят от януари. Най-голямата промяна е във Version 2. Тя запазва модулите за кражба, но добавя жива WebSocket връзка със сървъра на атакуващия.

Операторите могат да изпращат команди, които се изпълняват през /bin/sh, а резултатът се връща в реално време. Зловредният код инсталира и LaunchAgent с име com.apple.systemupdater.plist – име, избрано така, че да прилича на нормален процес на Apple.

Той се рестартира автоматично, ако бъде спрян, и се стартира отново на всеки 60 минути като резервен механизъм. Подобни трикове са помагали на други заплахи да заобиколят проверките на Apple, както е описано в нашия материал за заобикалянето на Gatekeeper с подписано приложение.

Зловредният код е създаден и да избягва определени жертви. Той проверява езика на системата и местоположението на публичния IP адрес на жертвата и спира да работи на системи в Русия и други страни от ОНД.

Основната му цел остава същата – кражба на пари и данни, но възможността за отдалечен достъп позволява на киберпрестъпниците да останат в системата по-дълго.

Защо тайните на разработчиците са изложени на риск

ICMacOS събира широк набор от данни. Насочен е към пароли и бисквитки от браузъри, криптовалутни портфейли, 29 разширения за браузър, данни от Keychain и приложения за съобщения като Telegram, WhatsApp и Discord.

Разработчиците са изложени на най-голям риск, защото зловредният код търси SSH ключове, настройки за AWS и Kubernetes, Git идентификационни данни и .env файлове.

Umut Bayram от Picus Security предупреждава, че един компрометиран лаптоп може да отвори път към кода, облачните системи и клиентите на дадена компания.

Kevin M. Coles от Coles Technical Group добавя, че разработчиците и ръководителите често използват Mac, а тези машини съдържат SSH ключове, облачни идентификационни данни и криптовалутни портфейли.

Потребителите на Mac могат да намалят риска с няколко прости навика. Никога не трябва да поставят в Terminal команди от уебсайт и трябва да изтеглят софтуер само от проверени източници.

Apple е добавила предупреждение за някои рискови поставени команди, но то може да не засича всеки случай. Всеки, който иска да разпознава такива примамки, може да прегледа нашия материал за триковете с команди в Terminal при ClickFix, преди да изпълни каквато и да е команда.

Moonlock продава приложение за сигурност на Mac, затова съветите му трябва да се четат с това предвид, но съветите му за проверка на политиките за поверителност на приложенията остават валидни.

Индикатори за компрометиране (IoC):

Забележка: IP адресите и домейните са умишлено дефанг-нати (напр. [.]), за да се предотврати случайно разрешаване или превръщане в хипервръзки. Връщайте ги в оригинален вид само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.