https://cyberveille.ch/tags/icmacos/ Recent content in ICMacOS on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 14 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-14-icmacos-icarus-macos-un-infostealer-maas-macos-evoluant-en-rat-persistant/ Wed, 14 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-14-icmacos-icarus-macos-un-infostealer-maas-macos-evoluant-en-rat-persistant/ <h2 id="-contexte">🔍 Contexte</h2> <p>En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié <strong>ICMacOS</strong> (alias Icarus macOS), un nouveau <strong>malware macOS distribué sous modèle MaaS (Malware-as-a-Service)</strong>, activement promu sur des forums cybercriminels russophones par l&rsquo;acteur <strong>GlowComa</strong>. L&rsquo;analyse technique complète a été publiée le 12 octobre 2026.</p> <h2 id="-acteur-de-la-menace">🎭 Acteur de la menace</h2> <ul> <li><strong>GlowComa</strong> : acteur russophone à motivation financière, actif depuis janvier 2026</li> <li>Opère sous la bannière du groupe d&rsquo;affiliation crypto <strong>MADHASH</strong></li> <li>Présent sur les forums <strong>XSS</strong>, <strong>Exploit.in</strong> et <strong>Rehub</strong></li> <li>Identifiants Telegram : <code>@ObjectCollision</code>, <code>@SaykatChain</code>, <code>@layer7king</code></li> <li>Canal Telegram principal : <code>https://t.me/s/icmacos/</code></li> <li>Tarification : <strong>699 $/semaine</strong>, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix)</li> <li>Réputation mitigée : plusieurs litiges d&rsquo;arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide</li> </ul> <h2 id="-chaîne-dinfection">⚙️ Chaîne d&rsquo;infection</h2> <ol> <li><strong>Vecteur initial</strong> : pages <strong>ClickFix</strong> incitant la victime à coller des commandes terminal malveillantes</li> <li><strong>Script Bash</strong> télécharge le dropper depuis <code>https://escapeai.live/icmacos_run_v2.command</code></li> <li>Le dropper : <ul> <li>Journalise dans <code>/tmp/.update-helper.log</code></li> <li>Modifie les préférences <code>com.apple.Terminal</code> pour masquer les fenêtres</li> <li>Affiche un faux dialogue <strong>&ldquo;System Preferences&rdquo;</strong> via <code>osascript</code> pour capturer le mot de passe</li> <li>Valide le mot de passe contre le <strong>Keychain</strong> macOS (jusqu&rsquo;à 5 tentatives)</li> <li>Détecte l&rsquo;architecture CPU (<code>arm64</code> ou <code>amd64</code>) via <code>uname -m</code></li> <li>Télécharge le payload final depuis <code>https://escapeai.live/ICMacOs?arch={architecture}</code></li> <li>Lance le payload en arrière-plan via <code>osascript</code> et <code>nohup</code>, puis ferme le terminal</li> </ul> </li> </ol> <h2 id="-analyse-technique-des-variantes">🦠 Analyse technique des variantes</h2> <h3 id="version-1--stealer">Version 1 – Stealer</h3> <p>Exécutable <strong>Mach-O 64 bits compilé en Go</strong>. Modules de vol :</p>