ICMacOS transforma roubo de senhas em acesso remoto persistente a Macs
Uma nova versão do ICMacOS, também conhecido como Icarus macOS, amplia o alcance de uma ameaça que antes se concentrava no roubo de informações. Além de coletar senhas e outros dados, o malware pode manter presença no computador após reinicializações e receber comandos remotamente. A mudança aumenta o risco para usuários de Mac e para empresas cujas redes e serviços são acessados por esses dispositivos.
O ICMacOS foi desenvolvido para buscar credenciais, cookies de sessão, informações de aplicativos e dados de carteiras de criptomoedas. Uma análise da SOCRadar, publicada em 12 de outubro de 2026, descreve uma versão que preserva essas funções e acrescenta comunicação com operadores por meio de WebSocket. Com esse canal, os responsáveis podem enviar novas instruções ao Mac infectado, em vez de depender exclusivamente de uma coleta pontual.
O malware é oferecido como serviço sob o nome Icarus macOS. A investigação atribui sua divulgação a um perfil identificado como GlowComa, mas essa associação não revela, por si só, quem são os operadores. As versões analisadas foram preparadas para computadores com processadores Intel e Apple Silicon e distribuídas como arquivos executáveis Mach-O escritos em Go.
Uma falsa instrução leva a vítima ao Terminal
A infecção observada começa com engenharia social. Na modalidade conhecida como ClickFix, a pessoa é orientada a copiar e executar no Terminal um comando que parece necessário para corrigir um problema ou habilitar algum recurso. Ao seguir as instruções, ela própria inicia a cadeia de instalação.
O comando inicial baixa componentes adicionais e identifica a arquitetura do equipamento para selecionar os arquivos adequados. Em seguida, o processo pode exibir uma janela falsa, semelhante às preferências do sistema, e solicitar a senha do usuário. O malware testa a credencial obtida contra o Keychain, repositório do macOS que armazena senhas e outros segredos.
Esse método não depende necessariamente de uma falha inédita no sistema operacional. Seu ponto central é convencer a vítima a executar um comando de origem duvidosa. Manter o macOS atualizado é essencial, mas não impede alguém de autorizar manualmente uma ação maliciosa. Por isso, a proteção também exige atenção ao que é copiado no Terminal e à procedência de instruções recebidas em páginas ou mensagens.
Um mecanismo legítimo é usado para permanecer no sistema
Na versão mais recente descrita, o ICMacOS recorre ao LaunchAgents, recurso nativo usado para iniciar processos na sessão do usuário. O arquivo identificado na análise, `~/Library/LaunchAgents/com.apple.systemupdater.plist`, utiliza um nome que pode ser confundido com um componente da Apple.
A configuração inclui as opções `KeepAlive` e `StartInterval`, definido para 3.600 segundos. Em conjunto com a conexão WebSocket, essa persistência permite que o programa volte a ser executado e mantenha contato com os operadores. Os comandos recebidos podem ser executados por meio do `/bin/sh`, e as respostas retornam pelo canal remoto.
Por isso, reiniciar o computador não é uma medida suficiente para eliminar a ameaça. Tampouco basta trocar uma senha enquanto o malware continua ativo: novas credenciais digitadas no equipamento podem ser capturadas, e arquivos ainda podem permanecer acessíveis aos invasores.
O risco pode alcançar serviços e ambientes corporativos
Entre os alvos de interesse estão chaves SSH, arquivos de configuração da AWS e do Kubernetes, credenciais do Git e documentos `.env`. Esses dados podem dar acesso a repositórios privados, ferramentas de desenvolvimento e ambientes de administração.
A presença dessas informações em um Mac comprometido não comprova automaticamente que servidores ou contas externas também foram invadidos. Para determinar o alcance do incidente, é necessário verificar registros de autenticação, uso de tokens, alterações em repositórios e atividades nos serviços associados. Uma credencial roubada representa uma possibilidade de acesso, mas a confirmação depende das evidências em cada sistema.
O problema ganha outra dimensão quando funcionários usam dispositivos pessoais para trabalhar. Um computador fora do inventário corporativo pode armazenar credenciais de clientes ou de ambientes produtivos sem oferecer à equipe de segurança a mesma visibilidade disponível em equipamentos gerenciados. Organizações que permitem esse modelo precisam definir requisitos mínimos de proteção, controlar os acessos e manter meios para invalidar credenciais rapidamente.
Como investigar e responder a uma suspeita
A análise deve ir além de procurar um único arquivo. Equipes de segurança podem examinar LaunchAgents desconhecidos, processos iniciados por scripts, comandos executados no Terminal e conexões de saída persistentes. Também é importante correlacionar esses sinais com horários de acesso, alertas de proteção de endpoint e alterações recentes nas contas utilizadas no Mac.
A investigação da SOCRadar relaciona os domínios `escapeai[.]live` e `mikoblico[.]xyz` à atividade analisada. Indicadores desse tipo são úteis como pistas para buscas em registros de rede e ferramentas de segurança, mas sua presença isolada não deve ser tratada como prova definitiva de infecção. Da mesma forma, a ausência de uma conexão com esses domínios não descarta necessariamente um comprometimento.
Se houver sinais consistentes de infecção, o primeiro passo é restringir a comunicação do equipamento com a rede, seguindo os procedimentos internos da organização. A contenção ajuda a reduzir a possibilidade de novos comandos e de envio de dados. Antes de apagar arquivos ou reinstalar o sistema, convém preservar evidências relevantes, como registros de atividade e elementos associados à persistência, para apoiar a investigação.
A partir de um dispositivo confiável, devem ser revogadas ou substituídas as credenciais potencialmente expostas. Isso pode incluir senhas, tokens, chaves SSH e credenciais de nuvem, além da revisão de sessões ativas e permissões concedidas. Se o alcance do incidente não puder ser determinado com segurança, uma reinstalação limpa do macOS pode ser necessária, acompanhada da restauração apenas de arquivos verificados.
Medidas para reduzir o risco
Usuários devem desconfiar de instruções que peçam para colar comandos no Terminal, sobretudo quando a orientação vier de páginas desconhecidas ou prometer corrigir um erro de forma urgente. Antes de executar qualquer comando, é importante entender sua origem e finalidade; uma janela com aparência familiar não garante que a solicitação seja legítima.
Nas empresas, controles de execução, monitoramento de processos e análise de tráfego podem ajudar a identificar comportamentos suspeitos. A gestão de dispositivos também deve incluir os Macs usados para acessar sistemas corporativos, inclusive quando são pessoais. Reduzir o uso de credenciais permanentes, limitar permissões e exigir autenticação multifator diminuem o impacto potencial do roubo de uma senha.
A evolução do ICMacOS mostra por que um infostealer não deve ser tratado apenas como uma ferramenta de coleta de dados. Com persistência e controle remoto, a ameaça pode continuar ativa e servir como ponto de partida para investigar outras contas e serviços. Detectar a presença no Mac é apenas uma parte da resposta: também é necessário avaliar quais segredos estavam disponíveis e se foram usados fora do dispositivo.