O malware de roubo de senhas para macOS Icarus, comercializado como ICMacOS, foi além do roubo rápido. Sua versão mais recente instala persistência, mantém um canal ativo com seus operadores e executa comandos enviados por um servidor remoto.
A SOCRadar identificou o ICMacOS em setembro de 2026 e encontrou duas variantes. A versão 1 se concentra no roubo básico, com alvo em credenciais de navegadores, bancos de dados de gerenciadores de senhas, carteiras de criptomoedas, segredos de desenvolvedores e dados de aplicativos de mensagens.
A versão 2 mantém esses módulos e adiciona funcionalidade completa de acesso remoto, usando WebSockets (protocolo de comunicação bidirecional em tempo real) para comando e controle (C2) e LaunchAgents (agentes de inicialização do macOS) para persistência.
O mecanismo de persistência foi projetado para passar despercebido. O malware grava um arquivo de lista de propriedades (property list) em um caminho de LaunchAgent dentro da pasta Library do usuário, com o nome com.apple.systemupdater.
Esse rótulo imita os serviços da própria Apple. Com KeepAlive ativado e um intervalo de inicialização de 3.600 segundos, o agente é reiniciado caso pare e volta a ser executado a cada hora, o que permite sobreviver a reinicializações.
Antes de estabelecer a persistência, a versão 2 encerra instâncias antigas e verifica se o usuário tem privilégios de root ou pertence a um grupo com permissão para usar o sudo. Em seguida, escolhe a persistência com privilégios elevados ou no nível do usuário, conforme o caso.
As vítimas geralmente chegam a páginas ClickFix que orientam a executar comandos no Terminal. Um dropper em Bash (interpretador de comandos) exibe uma falsa janela de Preferências do Sistema e valida a senha digitada contra o Keychain (chaveiro do sistema) de login, permitindo até cinco tentativas.
Depois, o malware baixa um binário em Go (linguagem de programação) específico para a arquitetura dos Macs com processador Intel ou Apple Silicon. Os atacantes também estão reduzindo as ações que exigem do usuário.
Ladrão de senhas para Mac
Pesquisadores da Jamf Threat Labs documentaram recentemente uma campanha do AMOS que usou o Script Editor para executar um script malicioso a partir de um único botão Execute.
A SOCRadar atribui o ICMacOS ao grupo GlowComa, um ator de motivação financeira, de língua russa, ativo desde janeiro de 2026.
A ferramenta é promovida nos fóruns XSS, Exploit.in e Rehub, sob o banner de afiliados de drenagem de criptomoedas MADHASH, com preços a partir de US$ 699 por semana.
Ela é vendida junto com o painel ClickFix do Icarus e um clipper de criptomoedas. A reputação do vendedor é mista. Disputas de arbitragem em fóruns citam baixa taxa de conversão de cargas maliciosas, detecção rápida e garantias não cumpridas.
Pesquisadores da Moonlock afirmaram que a capacidade de RAT (trojan de acesso remoto) é a mais relevante para desenvolvedores. O ICMacOS procura chaves SSH (Secure Shell), configurações da AWS (Amazon Web Services) e do Kubernetes, credenciais do Git e de gerenciadores de pacotes, além de arquivos .env.
Um único notebook comprometido pode abrir caminho até o código-fonte e a infraestrutura em nuvem. A persistência permite que os operadores continuem coletando tokens de sessão e carteiras muito depois do primeiro roubo.
Isso faz parte de uma tendência mais ampla. O MacSync adicionou um backdoor baseado em Go em 2025, que aceitava comandos remotos e reutilizava credenciais coletadas para ações privilegiadas.
Defensores devem verificar a presença do LaunchAgent com.apple.systemupdater.plist, de registros ocultos como /tmp/.update-helper.log e /tmp/.cache-update.log e de arquivos ZIP ocultos em /tmp.
O tráfego para escapeai[.]live, incluindo seu endpoint WebSocket, e para mikoblico[.]xyz exige investigação imediata.
A Apple testou um alerta no Terminal para ataques ClickFix, mas ele não vai detectar todas as tentativas. Mantenha saldos mínimos de criptomoedas em Macs, ative a autenticação multifator (MFA) em contas financeiras e renove chaves SSH e credenciais de nuvem após qualquer suspeita de exposição.
Trate qualquer instrução para colar comandos no Terminal ou executar um script no Script Editor como hostil, a menos que seja verificada.
Agentes baseados em Go evitam as cadeias de processos baseadas em curl (ferramenta de transferência de dados por linha de comando) que ferramentas mais antigas utilizavam. Por isso, a detecção na camada de rede é essencial.
