Dentro de ICMacOS: De un Robo de Información a un RAT Persistente

Resumen

ICMacOS, también conocido como Icarus macOS, es un Malware-como-Servicio (MaaS) para macOS recién identificado que ha evolucionado de un ladrón de credenciales a un troyano de acceso remoto (RAT) persistente. Apunta a información de alto valor, incluidas las credenciales del navegador, carteras de criptomonedas y secretos de desarrolladores como claves SSH y configuraciones en la nube. El malware utiliza la ingeniería social basada en ClickFix para su entrega y WebSockets para el comando y control en tiempo real.

Investigación

La Unidad de Investigación de Amenazas de SOCRadar (STRU) identificó ICMacOS a través del análisis de telemetría y el monitoreo de foros clandestinos. Los investigadores rastrearon la cadena de infección desde los scripts iniciales de dropper Bash hasta la implementación de binarios Mach-O y cargas útiles adicionales basadas en Python. La investigación documentó la progresión desde la Versión 1, enfocada en el robo de datos, a la Versión 2 con funcionalidad de RAT, mientras mapeaban la infraestructura C2 a través del análisis de WebSockets.

Mitigación

Las organizaciones deben implementar controles estrictos alrededor de la ejecución de comandos del terminal y monitorear modificaciones sospechosas de LaunchAgent. Se recomienda reforzar los sistemas macOS con cifrado de disco y políticas MDM que restrinjan LaunchAgents no autorizados. Los equipos de seguridad también deben monitorear conexiones inusuales de WebSocket salientes y accesos no autorizados a los servicios de Keychain como posibles indicadores de compromiso.

Respuesta

Cuando se detecta actividad de ICMacOS, aísle el host macOS afectado de la red para detener la exfiltración de datos y la comunicación C2 adicional. Realice una revisión forense completa del directorio /tmp, LaunchAgents y la actividad del usuario en Keychain. Rote las credenciales potencialmente comprometidas, incluidas las claves SSH, tokens de proveedores de la nube como credenciales de AWS y Kubernetes, y contraseñas almacenadas en el navegador.

Ejecución de Simulación

• Narrativa de Ataque & Comandos: Un adversario ha ganado acceso inicial a una estación de trabajo macOS y está desplegando el ladrón de ICMacOS. Para evadir la detección por parte del usuario y minimizar el tiempo para observación manual, el malware ejecuta un script a través de zsh. El script primero usa basename $0 para determinar su nombre de archivo para una mayor ofuscación de su presencia en el sistema de archivos. Inmediatamente después de iniciar su carga maliciosa (simulada por una enumeración de procesos de ICMACOS), el script intenta bloquear la ventana del terminal del usuario utilizando processes), the script attempts to crash the user’s terminal window using killall Terminal para forzar al usuario a salir de la sesión activa y ocultar el historial de comandos.

• Script de Prueba de Regresión:

   #!/bin/zsh
    # Script de simulación para validación de detección de ICMacOS Stealer
  
    echo "[+] Iniciando Simulación de ICMacOS Stealer..."
  
    # 1. Disparar selección_basename_killall vía 'basename $0'
    echo "[+] Ejecutando patrón de ofuscación: basename $0"
    /bin/zsh -c "echo $(basename $0)"
  
    # 2. Disparar selección_basename_killall vía 'killall Terminal'
    echo "[+] Ejecutando patrón de ocultamiento: killall Terminal"
    # Nota: Usamos un subshell para asegurar que el propio script de simulación no muera instantáneamente 
    # si se ejecuta en un terminal real, pero para el propósito de la regla, queremos que el comando se ejecute.
    /bin/zsh -c "killall Terminal" 2>/dev/null || echo "[!] killall falló (Terminal no está corriendo o permiso denegado)"
  
    # 3. Disparar selección_pgrep vía 'pgrep ICMACOS'
    echo "[+] Ejecutando patrón de enumeración: pgrep ICMACOS"
    /bin/zsh -c "pgrep ICMACOS"
  
    echo "[+] Comandos de simulación despachados."

• Comandos de Limpieza:

   # Ningún archivo persistente fue creado por el script de simulación.
    # Si se usaron archivos temporales, deberían ser eliminados aquí.
    rm -f /tmp/icmacos_sim_test