ICMacOS amplia o roubo de credenciais e mantém acesso remoto a Macs
Uma nova variante do ICMacOS, também conhecida como Icarus macOS, combina o furto de informações com recursos para controlar um computador Apple à distância e continuar ativa após reinicializações. A evolução aumenta o risco tanto para usuários domésticos quanto para empresas, especialmente quando o Mac é usado para acessar serviços de nuvem, repositórios de código ou sistemas internos.
A análise da SOCRadar, publicada em 12 de outubro de 2026, descreve uma versão que preserva funções de coleta de dados presentes nas edições anteriores e acrescenta um canal de comunicação por WebSocket. Com esse recurso, os operadores podem enviar instruções ao equipamento infectado e receber os resultados. Assim, o ataque deixa de depender apenas de uma coleta inicial: o dispositivo pode permanecer sob controle remoto.
O ICMacOS é anunciado como um produto chamado Icarus macOS. A investigação associa sua divulgação a um perfil identificado como GlowComa, sem estabelecer a identidade real de quem opera o malware. As amostras descritas são executáveis Mach-O desenvolvidos em Go e contemplam computadores com processadores Intel e Apple Silicon.
A falsa correção leva a vítima ao Terminal
A infecção observada usa uma técnica de engenharia social conhecida como ClickFix. Em vez de explorar necessariamente uma falha inédita do sistema, o golpe convence a pessoa a copiar e executar um comando no Terminal, muitas vezes sob o pretexto de corrigir um problema ou habilitar uma função.
O comando inicial baixa outros componentes e verifica a arquitetura do Mac para escolher o arquivo adequado. Durante o processo, pode surgir uma janela falsa, semelhante às preferências do sistema, pedindo a senha do usuário. O malware testa a credencial contra o Keychain, o recurso do macOS que armazena senhas e outros dados sensíveis.
Essa abordagem mostra por que manter o sistema atualizado, embora essencial, não basta para evitar todos os ataques. Quando a própria vítima executa uma instrução recebida de uma página desconhecida, as atualizações não substituem a cautela, a proteção de endpoint e as regras que limitam a execução de comandos.
Persistência com aparência de componente legítimo
Na versão mais recente, o malware usa o mecanismo LaunchAgents para iniciar processos na sessão do usuário. Um dos arquivos identificados fica em `~/Library/LaunchAgents/com.apple.systemupdater.plist`. O nome tenta se passar por um serviço da Apple, embora a localização e o comportamento do arquivo devam ser avaliados em conjunto antes de qualquer conclusão.
A configuração analisada inclui as opções `KeepAlive` e `StartInterval`, com intervalo de 3.600 segundos. Já o canal WebSocket permite que os operadores enviem comandos executados por meio do `/bin/sh` e recebam as respostas. Essa combinação favorece a permanência do invasor e possibilita novas ações mesmo depois do primeiro roubo de dados.
Por isso, reiniciar o computador ou trocar uma senha não garante que o incidente esteja resolvido. Se o agente malicioso continuar instalado, poderá voltar a executar tarefas e coletar credenciais atualizadas. A investigação precisa localizar e remover o mecanismo de persistência, além de verificar quais dados e serviços foram expostos.
Um Mac comprometido pode abrir caminho para outros sistemas
Entre os alvos potenciais estão senhas, cookies de sessão, carteiras de criptomoedas e informações guardadas por aplicativos. O malware também procura arquivos e configurações valiosos em ambientes técnicos, como chaves SSH, credenciais do Git, arquivos `.env` e dados relacionados a AWS e Kubernetes.
O impacto pode ultrapassar o próprio computador. Um Mac usado por desenvolvedores ou administradores para acessar servidores e repositórios privados pode armazenar tokens e segredos capazes de facilitar tentativas de acesso a outros serviços. Isso não significa, por si só, que esses sistemas tenham sido invadidos: é necessário examinar os registros de autenticação, o uso de tokens e as ações realizadas em cada plataforma.
O risco também se estende a organizações que permitem o uso de equipamentos pessoais no trabalho. Um dispositivo fora do inventário corporativo pode guardar credenciais de clientes ou de ambientes de produção sem receber o mesmo nível de monitoramento dos equipamentos gerenciados. Políticas de acesso devem levar em conta a segurança do endpoint e prever a revogação rápida de credenciais quando houver suspeita de comprometimento.
Como investigar e reduzir os riscos
A equipe de segurança pode procurar LaunchAgents desconhecidos, processos iniciados por scripts e conexões externas persistentes. A análise ganha consistência quando esses sinais são comparados com registros de execução, tráfego de rede e informações de autenticação. Os domínios `escapeai[.]live` e `mikoblico[.]xyz` foram associados à investigação da SOCRadar, mas um indicador isolado não confirma que um equipamento esteja infectado.
Usuários e equipes de TI também devem desconfiar de páginas que instruem a colar comandos no Terminal para corrigir erros, instalar atualizações ou validar o sistema. Antes de executar qualquer linha de comando, é importante confirmar sua origem por um canal confiável. Senhas de administrador não devem ser digitadas em janelas inesperadas, mesmo que elas reproduzam a aparência das configurações do macOS.
Em caso de suspeita, o Mac deve ser isolado das redes corporativas, preservando-se evidências para a investigação. As equipes responsáveis podem então verificar os arquivos de inicialização, identificar processos e conexões suspeitos e avaliar o alcance do acesso. A remoção do malware precisa ser acompanhada da troca de credenciais a partir de um dispositivo confiável e da revogação de sessões, tokens e chaves potencialmente expostos.
Também é recomendável revisar os registros dos serviços acessados pelo computador, sobretudo contas administrativas, plataformas de nuvem, repositórios e sistemas de clientes. A ativação de autenticação multifator reduz a dependência de uma senha isolada, mas não elimina o risco quando sessões ou tokens ativos são roubados. Por isso, a resposta deve incluir a invalidação desses acessos e a emissão de novas credenciais.
A principal mudança trazida pelo ICMacOS é a passagem de um roubo pontual de informações para uma presença que pode persistir e receber novas instruções. Para conter esse tipo de ameaça, não basta localizar o arquivo malicioso: é preciso identificar o que foi coletado, quais contas podem ter sido alcançadas e que medidas impedem o retorno do invasor.