ICMacOS: Từ mã độc đánh cắp thông tin đến Trojan truy cập từ xa nguy hiểm

• Tiến hóa kỹ thuật: ICMacOS đã nâng cấp từ stealer sang RAT với khả năng duy trì kết nối WebSocket và thực thi lệnh từ xa.
• Vector tấn công: Sử dụng kỹ thuật ClickFix lừa người dùng thực thi lệnh trong Terminal để chiếm quyền điều khiển.
• Mục tiêu nhắm đến: Tập trung vào thông tin xác thực của nhà phát triển, ví cloud, SSH keys và dữ liệu ứng dụng nhắn tin.
• Khuyến nghị: Cần giám sát chặt chẽ các tiến trình LaunchAgents và các yêu cầu xác thực hệ thống bất thường.

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về sự tiến hóa của mã độc ICMacOS (còn được gọi là Icarus macOS). Được phát hiện lần đầu vào tháng 9 năm 2026, mã độc này ban đầu chỉ tập trung vào việc đánh cắp mật khẩu và dữ liệu ví tiền điện tử. Tuy nhiên, các phiên bản mới nhất đã tích hợp thêm kênh lệnh trực tiếp và cơ chế duy trì sự hiện diện (persistence), biến nó thành một công cụ truy cập từ xa (RAT) đầy nguy hiểm.

Cơ chế lây nhiễm và kỹ thuật ClickFix

Chiến dịch tấn công bắt đầu thông qua các trang web ClickFix, nơi nạn nhân bị lừa dối để sao chép và dán các lệnh độc hại vào Terminal. Kỹ thuật này lợi dụng sự thiếu cảnh giác của người dùng khi đối mặt với các thông báo xác thực giả mạo. Sau khi thực thi, mã độc sử dụng AppleScript để hiển thị hộp thoại "System Preferences" giả, yêu cầu mật khẩu người dùng để mở khóa Keychain.

Sau khi thu thập được mật khẩu, mã độc sẽ kiểm tra kiến trúc hệ thống (Intel hoặc Apple Silicon) để tải xuống payload tương ứng. Mã độc được viết bằng ngôn ngữ Go, cho phép nó hoạt động linh hoạt trên nhiều phiên bản macOS. Một điểm đáng chú ý là các "guardrail" được tích hợp sẵn để tránh lây nhiễm vào các thiết bị tại Nga và các quốc gia thuộc Cộng đồng các Quốc gia Độc lập (CIS).

Phân tích khả năng đánh cắp dữ liệu

ICMacOS nhắm mục tiêu vào một loạt các dữ liệu nhạy cảm, bao gồm mật khẩu trình duyệt, cookie, lịch sử duyệt web và dữ liệu từ các trình quản lý mật khẩu. Đối với các nhà phát triển, mã độc này đặc biệt nguy hiểm khi nó tìm kiếm các tệp tin cấu hình như AWS credentials, Kubernetes settings, SSH keys và Git credentials.

Mã độc còn mở rộng phạm vi thu thập sang các ứng dụng nhắn tin như Telegram, WhatsApp, Discord và Apple Messages. Dữ liệu sau khi thu thập sẽ được nén vào một tệp ZIP ẩn và tải lên máy chủ C2 thông qua các yêu cầu HTTPS. Một payload Python bổ sung được sử dụng để thu thập thêm dữ liệu từ VPN, Slack, Signal và Zoom.

Cơ chế duy trì sự hiện diện (Persistence)

Phiên bản thứ hai của ICMacOS đã bổ sung khả năng duy trì sự hiện diện thông qua việc cài đặt một LaunchAgent. Bằng cách đặt tên tệp tin giống với các tiến trình hệ thống của Apple, mã độc cố gắng ngụy trang để tránh bị phát hiện bởi người dùng và các công cụ bảo mật cơ bản.

Mã độc thiết lập một kết nối WebSocket bền vững thông qua thư viện Gorilla WebSocket, cho phép kẻ tấn công gửi lệnh trực tiếp đến máy Mac bị nhiễm và nhận kết quả trả về theo thời gian thực. Đây là bước tiến lớn so với các phiên bản trước, biến ICMacOS thành một mối đe dọa thường trực.

Bảng tổng hợp các chỉ số IOCs

Để phòng chống, các quản trị viên hệ thống và người dùng cần kiểm tra các tệp tin trong thư mục ~/Library/LaunchAgents/ để tìm kiếm các tệp tin đáng ngờ như com.apple.systemupdater.plist. Ngoài ra, cần giám sát các hoạt động bất thường của Terminal và các yêu cầu xác thực Keychain không rõ nguồn gốc. Nếu phát hiện dấu hiệu nhiễm mã độc, thiết bị cần được cách ly ngay lập tức, các thông tin xác thực (credentials) phải được thay đổi từ một hệ thống sạch.