Apple製コンピュータを狙うマルウェアファミリー「ICMacOS」が、情報窃取型から永続化機能を備えたリモートアクセス型トロイの木馬（RAT）へと進化しました。
更新版のマルウェアは、パスワードや暗号資産ウォレットのデータ、機密ファイルを引き続き収集しながら、感染したMac上で攻撃者がコマンドを実行できるようになっています。
SOCRadarは2026年9月、「Icarus macOS」とも呼ばれるICMacOSを確認しました。10月12日付の同社レポートによると、このマルウェアには2つのバージョンがあります。最初のペイロードはデータ窃取に特化していましたが、2つ目のバージョンでは対話型のリモート制御機能と、再起動後も動作を維持する永続化機能が加わっています。
ロシア語圏の攻撃者「GlowComa」は、XSS、Exploit.in、Rehubでこのマルウェアを宣伝しています。暗号資産を盗み取るMADHASHグループの名義で活動しており、Icarus ClickFixパネルや暗号資産クリッパーとセットで販売しています。
サブスクリプションの料金は、週額699ドル、2週間で1,199ドル、月額1,699ドルです。既存のIcarus ClickFix利用者には、月額899ドルの割引価格が適用されます。
ただしSOCRadarによると、地下フォーラムでは、感染成果の乏しさ、検出の早さ、サービスの約束が果たされないことをめぐるトラブルも報告されています。
ICMacOSは、被害者を誘導して悪意あるコマンドをターミナルに貼り付けさせるClickFixページを通じて拡散します。確認されたソフトウェアの脆弱性を悪用するのではなく、ユーザーが偽の指示に従うことに依存した手口です。
最初のBashスクリプトはドロッパーをダウンロードし、ターミナルの設定を変更して実行内容が画面に表示されないようにします。続いてAppleScriptを使い、偽の「システム環境設定」のパスワード入力画面を表示します。
入力されたパスワードは被害者のログインキーチェーンと照合され、最大5回まで試行できます。
次にドロッパーは、コンピュータのプロセッサアーキテクチャを判別し、IntelまたはApple Silicon向けの対応するペイロードをダウンロードします。メインの実行ファイルは、Go言語で作られたMach-Oバイナリです。
このバイナリはバックグラウンドで起動し、窃取したパスワードを受け取ったうえで、感染の兆候が目に見えにくくなるようターミナルを閉じます。
窃取の対象となる開発者向け資産には、SSH鍵、AWSの認証情報、Kubernetesの設定、Git認証情報、環境ファイルなどがあります。収集した情報は隠しZIPアーカイブに圧縮され、HTTPS経由でアップロードされます。
バージョン2は、~/Library/LaunchAgents/com.apple.systemupdater.plistにLaunchAgentをインストールします。Appleの正規コンポーネントに似た名前を使うことで、紛れ込みやすくしています。この設定により、マルウェアは停止しても再起動され、1時間ごとの実行間隔も組み込まれています。
リアルタイムの制御には、escapeai[.]liveへのWebSocket接続を使います。受信した指示は/bin/shを通じて実行され、コマンドの出力は即座に攻撃者へ返されます。これにより、攻撃者は従来の窃取機能に加えて、対話型シェルも利用できます。
更新版はさらに、クリップボードのテキスト、Outlookのデータ、Steamのファイル、追加のシェル履歴も収集します。別途用意されたPythonペイロードは、収集対象をVPN設定、より多くのメッセージングアプリ、一般的なユーザーフォルダに保存された文書にまで広げます。
企業にとってのリスクは、個人のパスワード流出にとどまりません。漏えいした開発者のシークレットは、クラウドサービスやソースコード、社内インフラへの侵入経路になり得ます。永続的なアクセスが確立されると、攻撃者は新たに保存された認証情報を狙って再び侵入することもできると、Moonlockは指摘しています。
感染が疑われる環境を調査する防御側は、報告されているLaunchAgent、/tmp配下の隠しログ、escapeai[.]liveやmikoblico[.]xyzへの通信を確認する必要があります。ただし、これらの指標はあくまで調査の出発点であり、それ単独で侵害の証拠となるわけではありません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を減らしています。チームでの導入を検討する
翻訳元: https://cyberpress.org/icmacos-rat-hijacks-macs/
