Einblick in ICMacOS: Vom Infostealer zu einem persistenten RAT

Zusammenfassung

ICMacOS, auch bekannt als Icarus macOS, ist ein neu identifiziertes macOS Malware-as-a-Service (MaaS), das sich von einem Anmeldeinformations-Dieb zu einem persistenten Remote Access Trojan (RAT) entwickelt hat. Es zielt auf wertvolle Informationen ab, einschließlich Browser-Anmeldedaten, Kryptowährungs-Wallets und Entwicklergeheimnisse wie SSH-Schlüssel und Cloud-Konfigurationen. Die Malware nutzt auf ClickFix basierende Social Engineering-Methoden für die Zustellung und WebSockets für die Echtzeit-Kommando-und-Kontroll-Kommunikation.

Untersuchung

Die SOCRadar Threat Research Unit (STRU) hat ICMacOS durch Telemetrieanalyse und Überwachung von Untergrundforen identifiziert. Forscher verfolgten die Infektionskette von den ersten Bash-Dropper-Skripten bis zur Bereitstellung von Mach-O-Binärdateien und Python-basierten Hilfspayloads. Die Untersuchung dokumentierte die Entwicklung von Version 1, die sich auf den Diebstahl von Daten konzentrierte, zu Version 2 mit RAT-Funktionalität und kartierte die C2-Infrastruktur durch WebSocket-Analyse.

Eindämmung

Organisationen sollten strenge Kontrollen rund um die Ausführung von Terminalbefehlen durchsetzen und auf verdächtige Änderungen der LaunchAgent achten. Die Härtung macOS-Systeme mit Festplattenverschlüsselung und MDM-Richtlinien zur Einschränkung nicht autorisierter LaunchAgents wird empfohlen. Sicherheitsteams sollten auch ungewöhnliche ausgehende WebSocket-Verbindungen und unautorisierte Zugriffe auf Keychain-Dienste als potenzielle Indikatoren für einen Kompromiss überwachen.

Reaktion

Bei der Erkennung von ICMacOS-Aktivität sollte der betroffene macOS-Host vom Netzwerk isoliert werden, um Datenexfiltration und weitere C2-Kommunikation zu stoppen. Führen Sie eine umfassende forensische Überprüfung des /tmp-Verzeichnisses, der LaunchAgents und der Benutzer-Keychain-Aktivität durch. Rotieren Sie möglicherweise kompromittierte Anmeldeinformationen, einschließlich SSH-Schlüsseln, Cloud-Anbietertokens wie AWS und Kubernetes-Zugangsdaten sowie im Browser gespeicherten Passwörtern.

Ausführungssimulation

• Angriffserzählung & Befehle: Ein Angreifer hat anfänglichen Zugriff auf eine macOS Arbeitsstation erhalten und das ICMacOS-Stealer entfaltet. Um die Erkennung durch den Benutzer zu vermeiden und das Zeitfenster für eine manuelle Beobachtung zu minimieren, führt die Malware ein Skript aus über zsh. Das Skript verwendet zuerst basename $0 um seinen Dateinamen zur weiteren Verschleierung seiner Präsenz im Dateisystem zu bestimmen. Unmittelbar nach der Initiierung seiner bösartigen Nutzlast (simuliert durch eine Aufzählung von ICMACOS Prozessen), versucht das Skript das Terminalfenster des Benutzers zum Absturz zu bringen, indem es killall Terminal verwendet, um den Benutzer aus der aktiven Sitzung zu drängen und den Befehlsverlauf zu verbergen.

• Regressionstest-Skript:

   #!/bin/zsh
    # Simulationsskript zur Validierung der Erkennung des ICMacOS-Stealers
  
    echo "[+] ICMacOS-Stealer-Simulation wird gestartet..."
  
    # 1. Trigger für selection_basename_killall über 'basename $0'
    echo "[+] Ausführung des Verschleierungsmusters: basename $0"
    /bin/zsh -c "echo $(basename $0)"
  
    # 2. Trigger für selection_basename_killall über 'killall Terminal'
    echo "[+] Ausführung des Verschleierungsmusters: killall Terminal"
    # Hinweis: Wir verwenden ein Subshell, um sicherzustellen, dass das Simulationsskript selbst in einem echten Terminal nicht sofort beendet wird, aber zum Zweck der Regel soll der Befehl ausgeführt werden.
    /bin/zsh -c "killall Terminal" 2>/dev/null || echo "[!] killall fehlgeschlagen (Terminal läuft nicht oder Berechtigung verweigert)"
  
    # 3. Trigger für selection_pgrep über 'pgrep ICMACOS'
    echo "[+] Ausführung des Enumerationsmusters: pgrep ICMACOS"
    /bin/zsh -c "pgrep ICMACOS"
  
    echo "[+] Simulationsbefehle wurden ausgeführt."

• Bereinigungskommandos:

   # Keine persistierenden Dateien wurden durch das Simulationsskript erstellt. 
    # Falls temporäre Dateien verwendet wurden, sollten sie hier entfernt werden.
    rm -f /tmp/icmacos_sim_test