Die Bedrohungsanalysten der SOCRadar Threat Research Unit haben im September 2026 eine neue Schadsoftware namens ICMacOS beziehungsweise Icarus macOS identifiziert. Hinter dem Programm steht der russischsprachige Akteur GlowComa, der die Software nach dem Modell Malware-as-a-Service vertreibt.
Nach Erkenntnissen der Sicherheitsforscher hat sich die Bedrohung von einem reinen Werkzeug zum Diebstahl vertraulicher Daten (Version 1) zu einem persistenten Fernzugriffstrojaner (Version 2) weiterentwickelt.
Vertrieb im Untergrund und Ausrichtung auf Entwickler
Die Identifikation der Schadsoftware gelang SOCRadar im September 2026 über die Analyse von Telemetriedaten sowie das Monitoring von Untergrundforen. GlowComa vertreibt ICMacOS auf Plattformen wie XSS, Exploit.in und Rehub sowie über den Dienst Telegram.
Die Nutzungspreise liegen zwischen 699 US-Dollar pro Woche und 1.699 US-Dollar pro Monat. Das Verwaltungspanel der Infrastruktur wurde in der Programmiersprache Go unter Nutzung einer MySQL-Datenbank umgesetzt.
Die Malware zielt vor allem auf Entwicklerdaten ab. Neben Zugangsdaten für Amazon Web Services und Kubernetes geraten SSH-Schlüssel, Git-Repositories und sogenannte .env-Konfigurationsdateien in das Visier der Angreifer.
Laut einem Bericht von Cyber Security News arbeitet rund ein Drittel der Softwareentwickler in den USA auf Systemen mit macOS. Allerdings wurde in Berichten darauf hingewiesen, dass die Zusammenfassung des SOCRadar-Reports bisher nicht unabhängig verifiziert werden konnte.
Infektionskette und technische Schutzprüfungen
Die Infektion der Zielsysteme erfolgt über manipulierte ClickFix-Webseiten, die Benutzer dazu verleiten, einen Befehl im Terminal auszuführen. Ein Bash-Dropper öffnet daraufhin ein gefälschtes macOS-Systemfenster, das das Anmeldekennwort abfragt. Die Malware überprüft die Eingabe über den macOS-Schlüsselbund und bricht nach bis zu fünf fehlerhaften Versuchen ab.
Nach erfolgreicher Verifizierung lädt das Skript eine auf die jeweilige Intel- oder Apple-Silicon-Architektur abgestimmte Schadlast nach. Die Infektionskette führt dabei von Bash-Skripten über 64-Bit Mach-O-Binärdateien in Go bis hin zu Python-Nutzlasten.
Wer sich mit der Sicherheit von Apple-Systemen befasst, sollte die wichtigsten Konfigurationen seines Geräts genau kennen. Dieser kostenlose Ratgeber unterstützt Sie dabei, Ihren Mac von Anfang an optimal einzustellen und das volle Potenzial sicher zu nutzen. Apple Mac Starterpaket jetzt kostenlos sichern
In der ersten Version prüft ICMacOS als Schutzschranke zudem Spracheinstellungen und die geografische Herkunft der IP-Adresse, um Systeme in Russland und der Gemeinschaft Unabhängiger Staaten von einem Befall auszunehmen.
Während die erste Version auf das Auslesen von Browser-Passwörtern, Session-Cookies, Krypto-Wallets, Messenger-Daten und Cloud-Schlüsseln spezialisiert war, setzt die zweite Version auf Persistenz.
Über einen LaunchAgent namens com.apple.systemupdater.plist übersteht die Schadsoftware Systemneustarts und ermöglicht über ein WebSocket-C2 (Gorilla) mit einem 60-Minuten-Fallback die Ausführung von Fernsteuerungsbefehlen. Komprimierte Datensätze werden an die Domain escapeai[.]live übertragen.
Erkennungshinweise und empfohlene Gegenmaßnahmen
Sicherheitsanalysten nennen konkrete Erkennungsmerkmale für befallene Systeme. Neben der fraglichen Domain zählen die Adresse mikoblico[.]xyz, die IP-Adressen 85.137.253[.]61 und 45.13.186[.]247 sowie 17 SHA-256-Hashes zu den Indikatoren. Lokale Spuren finden sich unter anderem in der Protokolldatei /tmp/.update-helper.log oder im Verzeichnis der LaunchAgents.
Für ein effizientes und sicheres Arbeiten am Apple-Computer ist die Beherrschung der richtigen Befehle entscheidend. Ein erfahrener Experte hat die wichtigsten Tastenkombinationen zusammengestellt, mit denen Sie im Alltag wertvolle Zeit sparen und flüssiger navigieren. Die 19 besten Mac-Shortcuts gratis herunterladen
Die Plattform HackWatch stuft das Gesamtrisiko als hoch ein, verweist jedoch darauf, dass bereits Gegenmaßnahmen verfügbar sind. IT-Sicherheitsexperten von SOC Prime raten Unternehmen zu strikten Kontrollen bei der Ausführung von Terminal-Befehlen, einer lückenlosen Überwachung von LaunchAgent-Veränderungen und dem Einsatz von Richtlinien via Mobile-Device-Management.
Zudem sollten ungewöhnliche ausgehende WebSocket-Verbindungen sowie Zugriffe auf den Systemschlüsselbund überwacht werden. Im Verdachtsfall sollten Systeme vor der Isolation forensisch analysiert werden, um flüchtige Beweise in temporären Verzeichnissen zu sichern, bevor eine umfassende Rotation potenziell betroffener Anmeldedaten und Cloud-Schlüssel eingeleitet wird.