🔍 Contexte

En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié ICMacOS (alias Icarus macOS), un nouveau malware macOS distribué sous modèle MaaS (Malware-as-a-Service), activement promu sur des forums cybercriminels russophones par l’acteur GlowComa. L’analyse technique complète a été publiée le 12 octobre 2026.

🎭 Acteur de la menace

  • GlowComa : acteur russophone à motivation financière, actif depuis janvier 2026
  • Opère sous la bannière du groupe d’affiliation crypto MADHASH
  • Présent sur les forums XSS, Exploit.in et Rehub
  • Identifiants Telegram : @ObjectCollision, @SaykatChain, @layer7king
  • Canal Telegram principal : https://t.me/s/icmacos/
  • Tarification : 699 $/semaine, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix)
  • Réputation mitigée : plusieurs litiges d’arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide

⚙️ Chaîne d’infection

  1. Vecteur initial : pages ClickFix incitant la victime à coller des commandes terminal malveillantes
  2. Script Bash télécharge le dropper depuis https://escapeai.live/icmacos_run_v2.command
  3. Le dropper :
    • Journalise dans /tmp/.update-helper.log
    • Modifie les préférences com.apple.Terminal pour masquer les fenêtres
    • Affiche un faux dialogue “System Preferences” via osascript pour capturer le mot de passe
    • Valide le mot de passe contre le Keychain macOS (jusqu’à 5 tentatives)
    • Détecte l’architecture CPU (arm64 ou amd64) via uname -m
    • Télécharge le payload final depuis https://escapeai.live/ICMacOs?arch={architecture}
    • Lance le payload en arrière-plan via osascript et nohup, puis ferme le terminal

🦠 Analyse technique des variantes

Version 1 – Stealer

Exécutable Mach-O 64 bits compilé en Go. Modules de vol :

  • Navigateurs : Chromium (Chrome, Brave, Opera, Edge, Arc, Yandex…), Firefox/Gecko, Safari — credentials, cookies, historique, clés AES
  • Extensions navigateur : 29 extensions ciblées (MetaMask, Phantom, Coinbase, 1Password, LastPass, Dashlane…)
  • Wallets desktop : Electrum, Exodus, Atomic, Ledger Live, Monero, Sparrow, Wasabi, Coinomi…
  • Keychain : via keychainbreaker (Go) et security dump-keychain, avec escalade de privilèges via osascript
  • Messageries : Telegram (tdata/key_data), WhatsApp (SQLite), Discord (token LevelDB), iMessage (chat.db)
  • Secrets développeurs : SSH, AWS, Git, Docker, Kubernetes, Terraform, GCloud, .env*
  • Données personnelles : Apple Notes, historique d’appels, Termius SSH
  • Géo-exclusion CIS : vérification via locale | grep -c ru_RU et https://ipinfo.io/country
  • Exfiltration : archive ZIP → POST HTTPS multipart vers https://escapeai.live/upload + alerte Telegram opérateur

Version 2 – RAT persistant

Conserve toutes les capacités V1 et ajoute :

  • Anti-duplication : pgrep ICMACOS + kill -SIGKILL
  • Vérification des privilèges : root / groupe wheel
  • Persistance LaunchAgent : ~/Library/LaunchAgents/com.apple.systemupdater.plist (imite un processus Apple légitime), KeepAlive + StartInterval: 3600
  • C2 interactif WebSocket : connexion persistante via Gorilla WebSocket vers wss://escapeai.live/ws, exécution de commandes via /bin/sh
  • Nouvelles cibles : Steam (SteamGuard .ssfn), Outlook (.olk15Message), presse-papiers (pbpaste), autofill navigateurs, gestionnaires de mots de passe (Keeper, Enpass, NordPass, RoboForm, Trezor Suite), historique shell

Payload Python complémentaire

Servi depuis https://escapeai.live/payload.py :

  • VPN : ProtonVPN, Mullvad, NordVPN, ExpressVPN, WireGuard
  • Messageries : Slack, Signal, Zoom
  • Filegrabber : Desktop/Documents/Downloads (.txt, .pdf, .docx, .xlsx, .json, .csv, .key)
  • Conversion cookies SQLite → format Netscape HTTP

🖥️ Panel de gestion

Développé en Go avec backend MySQL. Fonctionnalités : analytics, suivi des logs, intégration VPS, alertes Telegram temps réel.

📄 Type d’article

Analyse technique approfondie publiée par SOCRadar STRU, visant à documenter les capacités, l’infrastructure et les IoCs d’ICMacOS pour permettre la détection et le suivi de cette menace MaaS macOS.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • GlowComa (cybercriminal) —

TTP

  • T1204.004 — User Execution: Malicious Copy and Paste (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1059.002 — Command and Scripting Interpreter: AppleScript (Execution)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1543.001 — Create or Modify System Process: Launch Agent (Persistence)
  • T1036.005 — Masquerading: Match Legitimate Resource Name or Location (Defense Evasion)
  • T1480 — Execution Guardrails (Defense Evasion)
  • T1564 — Hide Artifacts (Defense Evasion)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1082 — System Information Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1555.001 — Credentials from Password Stores: Keychain (Credential Access)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1555.005 — Credentials from Password Stores: Password Managers (Credential Access)
  • T1056.002 — Input Capture: GUI Input Capture (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1552.003 — Unsecured Credentials: Shell History (Credential Access)
  • T1115 — Clipboard Data (Collection)
  • T1119 — Automated Collection (Collection)
  • T1213 — Data from Information Repositories (Collection)
  • T1005 — Data from Local System (Collection)
  • T1560 — Archive Collected Data (Collection)
  • T1048.002 — Exfiltration Over Alternative Protocol: Exfiltration Over Asymmetric Encrypted Non-C2 Protocol (Exfiltration)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

  • IPv4 : 85.137.253.61 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 45.13.186.247 — AbuseIPDB · VT · ThreatFox
  • Domaines : escapeai.live — VT · URLhaus · ThreatFox
  • Domaines : mikoblico.xyz — VT · URLhaus · ThreatFox
  • URLs : https://escapeai.live/api/build_config — URLhaus
  • URLs : https://escapeai.live/icmacos_run_v2.command — URLhaus
  • URLs : http://escapeai.live/loader_v2.sh — URLhaus
  • URLs : https://escapeai.live/ICMacOs?arch=arm64 — URLhaus
  • URLs : https://escapeai.live/ICMacOs?arch=amd64 — URLhaus
  • URLs : https://escapeai.live/payload.py — URLhaus
  • URLs : https://escapeai.live/upload — URLhaus
  • URLs : wss://escapeai.live/ws — URLhaus
  • SHA256 : 5dfb0c01ac5c075e23ec37873b30ba16cf28e290e9439d04101f0a8191f929d8 — VT · MalwareBazaar
  • SHA256 : 8cc449e7e240894e77187f6faff415bc8b9f2f9da73f60eef1f7605debd9144a — VT · MalwareBazaar
  • SHA256 : 62e435102e1e1de74537f174ede7c8ff198dc4df3fd2e1167f537096e0b4dd17 — VT · MalwareBazaar
  • SHA256 : 857236d1902f4604acdf27519c0310064d21f8a82af3b95b1e4f02fef581b1d0 — VT · MalwareBazaar
  • SHA256 : 6917505bbdc8efa01ea1a0298eae62a93a57a8c98d3712a69d822dca4a667f05 — VT · MalwareBazaar
  • SHA256 : dca852b53c259641e1782bd9122c5007130614a7a8fd17102400acb4f50f6e94 — VT · MalwareBazaar
  • SHA256 : e7e8ac14aaee970c6d00c6cbb398decc56dfc128974c01bfc8e7acd13a18576e — VT · MalwareBazaar
  • SHA256 : ec37acd3bd15f50eee2941d5644ca0ee738b36ce4a39e9e08058e35ebc7961fc — VT · MalwareBazaar
  • SHA256 : fcf9de13ecc70b4fda3998ed7a93849edf86c48767a1a13f32f4a6a631a65ae2 — VT · MalwareBazaar
  • SHA256 : 3d4f70172c8f31813e7b37fc1a49bce193663e33c4eb65952bb5aec9d7176826 — VT · MalwareBazaar
  • SHA256 : 8b7606bdccdd6ff691db875283fdf5b6b658dd8d4d141b44e07f8f2583ff5604 — VT · MalwareBazaar
  • SHA256 : bc8d70f000e73c0c7a69a2676805190e7109cab59df3e34c5a74d2cb7f13a7e4 — VT · MalwareBazaar
  • SHA256 : a9b21ac0112855b835b5e5850ef167471eff7305d42b3a8104c1961b257a444d — VT · MalwareBazaar
  • SHA256 : c8136413ad38a1028050f5d508e25267b518c5fdeac80b6442103d1009d8924c — VT · MalwareBazaar
  • SHA256 : e52855d447d152bb698e565f361161cdc8946183ab09bf3cbea89765a2b5ff31 — VT · MalwareBazaar
  • SHA256 : d9df05a3fb68d302ecf134a1214b609c6ec0a3fb9122907214afac3908b587f4 — VT · MalwareBazaar
  • SHA256 : 8b4303a065e18e80050ef22031ec60b1a4e84f958d9e56cc5cc34cd29d988d69 — VT · MalwareBazaar
  • Fichiers : icmacos_run_v2.command
  • Fichiers : loader_v2.sh
  • Fichiers : ICMacOs.gz
  • Fichiers : ICMacOs
  • Fichiers : payload.py
  • Fichiers : com.apple.systemupdater.plist
  • Chemins : /tmp/.update-helper.log
  • Chemins : /tmp/.cache-update.log
  • Chemins : /tmp/.update-tmp/ICMacOs.gz
  • Chemins : ~/Library/LaunchAgents/com.apple.systemupdater.plist

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 14 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ICMacOS (stealer)
  • ICMacOS v2 (rat)
  • Icarus ClickFix (other)
  • keychainbreaker (tool)
  • AMOS (stealer)
  • MacSync (stealer)
  • Cthulhu (stealer)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ⬜ socradar.io — source non référencée (0pts)
  • ✅ 35544 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 39 IOCs dont des hashes (15pts)
  • ✅ 5/10 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 27 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : GlowComa (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 5dfb0c01ac5c075e… (sha256) → VT (24/76 détections) + ThreatFox (Unknown malware)
  • 8cc449e7e240894e… (sha256) → VT (26/76 détections) + ThreatFox (Unknown malware)
  • 62e435102e1e1de7… (sha256) → VT (25/76 détections) + ThreatFox (Unknown malware)
  • escapeai.live (domain) → VT (21/92 détections) + ThreatFox (Unknown malware)
  • mikoblico.xyz (domain) → VT (16/92 détections) + ThreatFox (Unknown malware)

🔗 Source originale : https://socradar.io/blog/icmacos-infostealer-rat/