REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
SOCRadar examine ICMacOS, aussi présenté sous le nom Icarus macOS. Le cas associe une diffusion commerciale clandestine et des échantillons techniques : de faux dialogues système servent à récupérer le mot de passe du Mac avant une collecte qui peut évoluer vers le contrôle distant.
Déroulement décrit par la source
- SOCRadar identifie en septembre 2026 un infostealer macOS commercialisé par un acteur utilisant le pseudonyme GlowComa.
- Le programme de dépôt présente un faux dialogue de préférences système et vérifie le mot de passe saisi en tentant de déverrouiller le trousseau de connexion.
- L’analyse distingue une première variante de collecte et une seconde introduisant un accès distant, des communications WebSocket et une persistance par LaunchAgents.
Comprendre les mécanismes et les enseignements
- Un dialogue qui ressemble à macOS ne prouve pas l’origine de la demande. Le contexte du lancement, le logiciel à l’origine de la fenêtre et l’opération réellement attendue doivent guider l’utilisateur avant toute saisie du mot de passe.
- Un infostealer peut aussi devenir un accès durable. La réponse doit rechercher les mécanismes de démarrage et les activités ultérieures, sans considérer que la fin d’une collecte signifie nécessairement la fin de la présence de l’opérateur.
Les vérifications défensives utiles
- Documenter les canaux de distribution autorisés sur les Mac professionnels et sensibiliser aux fausses réparations demandant un collage dans le terminal. Prévoir une validation du support pour les demandes administrateur inattendues, avec un canal de signalement accessible sans réexécuter le téléchargement.
- Enquêter sur les nouveaux LaunchAgents, éléments de connexion et scripts exécutés récemment. Relier ces changements aux processus et destinations réseau observés ; préserver les fichiers suspects et leurs dates avant nettoyage pour reconstruire le périmètre de l’incident.
- Depuis un poste sain, révoquer les sessions et renouveler les secrets accessibles au Mac compromis. Vérifier les comptes de développement, de messagerie et de portefeuille concernés, puis restaurer un environnement propre et valider l’absence de persistance avant reprise des usages sensibles.
Portée et limites
Les annonces commerciales ne prouvent pas à elles seules chaque capacité revendiquée ni leur efficacité. L’étude distingue plusieurs variantes et des échantillons récupérés ; elle n’établit pas ici une population exhaustive de victimes ou une nationalité certaine de l’opérateur derrière le pseudonyme observé.
Rapport original
Inside ICMacOS: From an Infostealer to a Persistent RAT — socradar.io.