ICMacOS malware
A SOCRadar kutatói 2026 szeptemberében azonosították az ICMacOS (Icarus macOS) nevű, Go nyelven fejlesztett kártevőt, amelyet a GlowComa álnevű, oroszul kommunikáló szereplő Malware-as-a-Service szolgáltatásként értékesít.
A fertőzés ClickFix-módszerrel indul, a felhasználót megtévesztő weboldal ráveszi egy terminálparancs futtatására. A letöltött Bash-szkript hamis macOS-rendszerablakban kéri el a bejelentkezési jelszót, majd a Keychain segítségével ellenőrzi annak helyességét. Ezután a gép Intel- vagy Apple Silicon-architektúrájához illeszkedő kártevőt telepít. Az első változat böngészőjelszavakat, munkamenetsütiket, kriptotárcákat, üzenetküldő alkalmazások adatait, valamint SSH-kulcsokat, AWS- és Kubernetes-hitelesítő adatokat gyűjt. A második verzió már távoli hozzáférést biztosító trójaiként (RAT) is működik, a com.apple.systemupdater.plist LaunchAgent segítségével újraindítás után is aktív marad, WebSocket-kapcsolaton keresztül pedig távoli parancsvégrehajtást tesz lehetővé. Az ellopott adatokat a kártevő tömörítve továbbítja az escapeai[.]live kiszolgálóra.
A fejlesztő oroszországi és FÁK-beli rendszereket kizáró ellenőrzést is beépített. A fertőzés felismerését a gyanús LaunchAgent, a /tmp/.update-helper.log állomány és a kapcsolódó hálózati forgalom segítheti. A fejlesztői hitelesítő adatok ellopása miatt egyetlen kompromittált Mac vállalati felhőszolgáltatásokhoz és kódtárolókhoz is hozzáférést nyithat.
