El malware ICMacOS ha evolucionado de ser una herramienta de robo de contraseñas y datos de billeteras de criptomonedas a convertirse en un troyano de acceso remoto. Su versión más reciente incluye un canal de comandos en vivo y un mecanismo de inicio, lo que permite a los atacantes mantener una conexión persistente con los Macs infectados más allá del robo inicial de datos.

El malware ICMacOS ha evolucionado de ser una herramienta que roba contraseñas y datos de billeteras de criptomonedas a convertirse en un troyano de acceso remoto que puede mantener a los atacantes conectados a los Macs infectados.

Su versión más reciente añade un canal de comandos en vivo y un mecanismo de inicio, otorgando a los criminales un acceso que va más allá de la primera ronda de robo de datos.

Este cambio aumenta los riesgos para los usuarios de Mac y las empresas. En lugar de marcharse tras recolectar los inicios de sesión guardados, el malware puede permanecer activo, ejecutar comandos y recopilar más información.

Los desarrolladores corren un riesgo particular porque el robo de claves de la nube, credenciales SSH y secretos de proyectos puede exponer sistemas fuera del dispositivo infectado.

Investigadores de la Unidad de Investigación de Amenazas de SOCRadar identificaron ICMacOS, también llamado Icarus macOS, en septiembre de 2026.

Su informe del 12 de octubre describe dos versiones: un robador de información inicial y una compilación más reciente con acceso remoto persistente. El malware es promovido por un actor de habla rusa bajo el nombre de GlowComa.

El malware ICMacOS evoluciona

GlowComa anuncia ICMacOS en foros de cibercrimen de habla rusa, incluyendo XSS, Exploit.in y Rehub, con actualizaciones compartidas a través de Telegram. Los precios comienzan en 699 $ semanales y alcanzan los 1,699 $ mensuales.

Los compradores reciben un panel de gestión para rastrear dispositivos infectados, contraseñas robadas, cookies, archivos y billeteras, junto con alertas de Telegram cuando llegan los datos robados. El panel está escrito en Go y utiliza MySQL para almacenar los registros, brindando a los compradores una vista centralizada de los activos robados.

La infección comienza con páginas de ClickFix que persuaden a las víctimas para que peguen comandos maliciosos en la Terminal. Este enfoque también aparece en campañas de robo de credenciales de macOS ClickFix, donde avisos de verificación falsos convierten al usuario en el detonador de la ejecución del malware.

ICMacOS utiliza un script de Bash inicial para recuperar un "dropper" específico de la campaña. Ese dropper cambia las preferencias de la Terminal para ocultar los detalles de la ventana y luego usa AppleScript para mostrar un diálogo de contraseña falso de "Preferencias del Sistema".

Verifica la contraseña proporcionada intentando desbloquear el Llavero (Keychain) de inicio de sesión del usuario, permitiendo hasta cinco intentos. Una verificación exitosa le otorga al malware una contraseña verificada para su robo posterior.

A continuación, el script comprueba si el Mac utiliza Intel o Apple Silicon y descarga el payload correspondiente. Ejecuta el malware en segundo plano utilizando la contraseña robada y los detalles de la campaña como argumentos.

Finalmente, cierra la Terminal y muestra un mensaje de error falso basado en la configuración recuperada de su servidor. El desarrollador afirma que es compatible desde macOS Sierra en adelante, pero el informe no establece la compatibilidad con todas las versiones.

El payload principal es un ejecutable Mach-O de 64 bits escrito en Go. La Versión 1 comprueba la configuración del idioma ruso y el país de la IP pública del dispositivo antes de robar los datos.

Los investigadores describen esto como una medida de protección destinada a evitar Rusia y los países de la Comunidad de Estados Independientes, en consonancia con las restricciones anunciadas por el operador.

Sus módulos de recolección se centran en contraseñas del navegador, cookies, historial, billeteras de criptomonedas y datos de gestores de contraseñas. Los archivos de desarrolladores incluyen credenciales de AWS, configuraciones de Kubernetes, claves SSH, credenciales de Git y archivos de entorno.

Riesgos similares de robo de credenciales de desarrolladores han aparecido en otras campañas de Mac, demostrando cómo una sola estación de trabajo comprometida puede exponer la infraestructura más amplia de una empresa.

ICMacOS también copia datos de mensajería de Telegram, WhatsApp, Discord y Apple Messages, además de información de Apple Notes y Termius.

Intenta descifrar los contenidos del Llavero utilizando la contraseña capturada y una biblioteca de Go integrada. Si eso falla, utiliza la utilidad de seguridad de Apple, con avisos falsos adicionales solicitando la aprobación del administrador cuando es necesario.

Los archivos recolectados se empaquetan en un archivo ZIP oculto y se cargan mediante una solicitud HTTPS. Un payload de Python independiente amplía la recolección a perfiles de VPN, Slack, Signal, Zoom y documentos en carpetas comunes de usuario. También convierte las cookies del navegador en un formato que los atacantes pueden reutilizar para el secuestro de sesiones.

El acceso remoto persistente cambia el riesgo

La Versión 2 añade comprobaciones de procesos de malware existentes y privilegios disponibles antes de establecer la persistencia. Instala un LaunchAgent con un nombre similar a los de Apple y lo carga en la sesión del usuario activo.

Su configuración mantiene el proceso en ejecución e incluye un intervalo de respaldo de 60 minutos, lo que ayuda a restaurar el acceso si la ejecución se detiene. La nueva compilación también abre una conexión WebSocket persistente utilizando la biblioteca Gorilla WebSocket.

Los comandos recibidos del servidor se ejecutan a través de la shell de Unix, con la salida devuelta en tiempo real. Este movimiento se asemeja a las capacidades de puerta trasera de Atomic Stealer, que extendieron otro robador de credenciales de Mac hacia una amenaza de acceso remoto de mayor duración.

La Versión 2 recolecta además texto del portapapeles, datos de Outlook, archivos de Steam, registros de autocompletado del navegador e historial de la shell. Quienes defienden los sistemas deben investigar diálogos de contraseña inesperados, actividad sospechosa de la Terminal, archivos temporales ocultos y LaunchAgents recién creados. Los dispositivos sospechosos deben ser aislados, restableciendo las credenciales expuestas desde un sistema limpio y revisando las sesiones activas.

Fuentes:
https://cybersecuritynews.com/icmacos-malware-evolves/