Cibercriminales están vendiendo en foros de la dark web de habla rusa un kit de malware para Mac llamado ICMacOS (o Icarus macOS) por un precio de 699 dólares a la semana. Aunque inicialmente era un simple robador de datos, su versión más reciente es capaz de permanecer oculta en el sistema, sobrevivir a los reinicios y ejecutar comandos remotamente.

Los cibercriminales están vendiendo un kit de malware para Mac que puede hacer mucho más que robar contraseñas. La herramienta, llamada ICMacOS o Icarus macOS, se ofrece por 699 dólares a la semana en foros de la dark web de habla rusa.

Comenzó como un simple robador de datos, pero su versión más reciente puede permanecer oculta en un Mac, sobrevivir a los reinicios y ejecutar comandos enviados por sus operadores.

La Unidad de Investigación de Amenazas de SOCRadar identificó el malware por primera vez en septiembre de 2026 y publicó un informe detallado el 12 de octubre.

El vendedor utiliza el nombre GlowComa, un actor motivado financieramente activo desde enero de 2026, que promociona la herramienta bajo el estandarte del grupo afiliado de drenaje de criptomonedas MADHASH.

Para obtener más información sobre cómo creció la amenaza, lee nuestro informe detallado sobre la evolución de ICMacOS, que explica cada cambio en orden.

Investigadores de Moonlock Lab también señalaron que ICMacOS es el robador de macOS más asequible que se vende en la dark web. El análisis de Moonlock, que cita a SOCRadar, compara el precio con otras amenazas para Mac.

Según se informa, AMOS se vende por 3.000 dólares al mes, Banshee por entre 1.500 y 3.000 dólares al mes, y MacSync por entre 1.000 y 1.500 dólares al mes.

Estas cifras se basan en precios reportados históricamente. El vendedor también tiene una reputación mixta en el mercado clandestino, con varias disputas en Exploit.in debido a malos resultados y un servicio lento.

Venden el Troyano de Acceso Remoto ICMacOS

La infección comienza con páginas web falsas que engañan a las víctimas para que copien un comando y lo peguen en la Terminal. El comando descarga un script "dropper" que oculta la ventana de la Terminal y muestra un aviso falso de Preferencias del Sistema solicitando la contraseña de inicio de sesión.

El dropper verifica esa contraseña contra el Llavero (Keychain) de inicio de sesión y permite hasta cinco intentos. Luego, comprueba si el Mac utiliza Apple Silicon o Intel y descarga el payload correspondiente.

Este estilo de señuelo es similar a la campaña falsa de limpieza de disco que los investigadores de Microsoft han rastreado desde enero. El mayor cambio está en la Versión 2. Mantiene los módulos de robo, pero añade una conexión WebSocket en vivo al servidor del atacante.

Los operadores pueden entonces enviar comandos que se ejecutan a través de /bin/sh, y la respuesta regresa en tiempo real. El malware también instala un LaunchAgent llamado com.apple.systemupdater.plist, un nombre elegido para parecer un proceso normal de Apple.

Se reinicia automáticamente si se detiene y se ejecuta nuevamente cada 60 minutos como respaldo. Trucos similares han ayudado a otras amenazas a superar los controles de Apple, como se describe en nuestra cobertura sobre el bypass de Gatekeeper mediante apps firmadas.

El malware también está diseñado para evitar a ciertas víctimas. Verifica el idioma del sistema y la ubicación de la IP pública de la víctima, y deja de ejecutarse en sistemas de Rusia y otros países de la CIS.

Su objetivo principal sigue siendo el mismo, que es robar dinero y datos, pero la función de acceso remoto permite que los criminales permanezcan dentro del sistema por más tiempo.

Por qué los secretos de los desarrolladores están en riesgo

ICMacOS recopila una amplia gama de datos. Se enfoca en contraseñas y cookies del navegador, billeteras de criptomonedas, 29 extensiones de navegador, datos del Llavero y aplicaciones de mensajería como Telegram, WhatsApp y Discord.

Los desarrolladores enfrentan el mayor riesgo porque el malware busca claves SSH, configuraciones de AWS y Kubernetes, credenciales de Git y archivos .env.

Umut Bayram, de Picus Security, advirtió que una sola computadora portátil comprometida puede abrir el camino hacia el código de una empresa, sus sistemas en la nube y sus clientes.

Kevin M. Coles, de Coles Technical Group, añadió que los desarrolladores y ejecutivos usan Macs a menudo, y esas máquinas contienen claves SSH, inicios de sesión en la nube y billeteras de criptomonedas.

Si usas Mac, puedes reducir tu riesgo con unos pocos hábitos sencillos. Nunca pegues comandos de un sitio web en la Terminal y descarga software únicamente de fuentes verificadas.

Apple ha añadido una advertencia para algunos comandos pegados riesgosos, pero es posible que no detecte todos los casos. Cualquiera que quiera reconocer estos señuelos puede revisar nuestros trucos de comandos de Terminal de ClickFix antes de ejecutar cualquier comando.

Moonlock vende una aplicación de seguridad para Mac, por lo que debes leer su consejo teniendo eso en cuenta, pero sus sugerencias sobre la revisión de las políticas de privacidad de las aplicaciones siguen siendo válidas.