ICMacOS 내부: 정보탈취기에서 지속 가능한 RAT으로

요약

ICMacOS는 Icarus macOS라고도 알려진 새로운 macOS 멀웨어 서비스(MaaS)로, 자격 증명 탈취자에서 지속 가능한 원격 액세스 트로이 목마(RAT)로 진화했습니다. 브라우저 자격 증명, 암호화폐 지갑, SSH 키 및 클라우드 구성과 같은 개발자 비밀 정보 등 고가치 정보를 타겟으로 합니다. 이 멀웨어는 ClickFix 기반의 사회 공학을 통해 제공되고 WebSockets를 통해 실시간 명령 및 제어를 수행합니다.

조사

SOCRadar 위협 연구 단위(STRU)는 원격 분석 분석 및 지하 포럼 모니터링을 통해 ICMacOS를 식별했습니다. 연구원들은 초기 Bash 드로퍼 스크립트에서 Mach-O 바이너리 및 Python 기반 보조 페이로드의 배포로 이어지는 감염 경로를 추적했습니다. 조사는 데이터 탈취에 중점을 둔 버전 1에서 RAT 기능을 포함한 버전 2로의 발전을 문서화했으며, WebSocket 분석을 통해 C2 인프라를 매핑했습니다.

완화

조직은 터미널 명령 실행에 대한 엄격한 제어를 시행하고 의심스러운 LaunchAgent 수정 사항을 모니터링해야 합니다. 디스크 암호화 및 무단 LaunchAgent를 제한하는 MDM 정책으로 macOS 시스템을 강화하는 것이 권장됩니다. 보안 팀은 또한 비정상적인 아웃 바운드 WebSocket 연결 및 Keychain 서비스에 대한 무단 액세스를 잠재적 손상의 지표로 모니터링해야 합니다.

대응

ICMacOS 활동이 감지되면 데이터 탈취 및 추가 C2 통신을 중단하기 위해 감염된 macOS 호스트를 네트워크에서 격리하세요. /tmp 디렉토리, LaunchAgents 및 사용자 Keychain 활동에 대한 포괄적인 포렌식 리뷰를 수행하세요. SSH 키, AWS 및 Kubernetes 자격 증명과 같은 클라우드 제공자 토큰 및 브라우저에 저장된 비밀번호와 같은 잠재적으로 손상된 자격 증명을 교체하세요.

시뮬레이션 실행

• 공격 서사 및 명령: 공격자가 macOS 워크스테이션에 초기 액세스를 획득하고 ICMacOS 스틸러를 배포하고 있습니다. 사용자의 탐지를 피하고 수동 관찰을 위한 시간을 최소화하기 위해 멀웨어는 zsh를 통해 스크립트를 실행합니다. basename $0 를 사용하는 이 스크립트는 파일 시스템에서 자신의 존재를 더욱 난독화하기 위해 파일 이름을 결정합니다. ( ICMACOS 프로세스의 열거를 통해 시뮬레이션된) 악성 페이로드를 시작한 직후, 스크립트는 killall Terminal 을 시도하여 사용자를 활성 세션에서 강제로 로그아웃하고 명령 기록을 숨깁니다.

• 회귀 테스트 스크립트:

   #!/bin/zsh
    # ICMacOS 스틸러 탐지 검증을 위한 시뮬레이션 스크립트
  
    echo "[+] ICMacOS 스틸러 시뮬레이션 시작..."
  
    # 1. 'basename $0'을 통해 select_basename_killall 트리거
    echo "[+] 난독화 패턴 실행: basename $0"
    /bin/zsh -c "echo $(basename $0)"
  
    # 2. 'killall Terminal'을 통해 select_basename_killall 트리거
    echo "[+] 은폐 패턴 실행: killall Terminal"
    # 주의: 우리는 실제 터미널에서 실행 시 시뮬레이션 스크립트 자체가 즉시 종료되지 않도록 한다
    # 규칙의 목적으로 우리는 이 명령이 실행되길 원한다.
    /bin/zsh -c "killall Terminal" 2>/dev/null || echo "[!] killall 실패 (Terminal 실행 중이 아니거나 권한 거부됨)"
  
    # 3. 'pgrep ICMACOS'를 통해 select_pgrep 트리거
    echo "[+] 열거 패턴 실행: pgrep ICMACOS"
    /bin/zsh -c "pgrep ICMACOS"
  
    echo "[+] 시뮬레이션 명령 전송됨."

• 정리 명령어:

   # 시뮬레이션 스크립트에서 영구적인 파일은 생성되지 않았습니다. 
    # 임시 파일이 사용된 경우, 여기에 제거되어야 합니다.
    rm -f /tmp/icmacos_sim_test