La minaccia malware per macOS, ICMacOS, si potenzia diventando un RAT completo. Parallelamente, una grave vulnerabilità in Docker Hub, rimasta aperta per oltre due anni, solleva preoccupazioni sulla sicurezza della supply chain del software.
Il panorama delle minacce informatiche per macOS continua a evolversi, con la piattaforma malware-as-a-service (MaaS) ICMacOS che dimostra capacità sempre più sofisticate. Originariamente conosciuta come Icarus, questa minaccia, distribuita su forum criminali e piattaforme come Telegram, ha ampliato le sue funzionalità ben oltre il furto iniziale di credenziali di accesso. Le recenti analisi la descrivono ora come un Remote Access Trojan (RAT), in grado di garantire agli aggressori un controllo remoto persistente sui sistemi Apple compromessi.
La campagna associata a ICMacOS fa parte di un ecosistema criminale più ampio denominato "ICARUS", che include anche ClickFix, uno strumento per l'ingegneria sociale focalizzato sulla distribuzione di payload, e un sistema per la clippatura di criptovalute. Questa suite integrata mira a massimizzare i profitti per gli operatori.
Il metodo di infezione iniziale si basa ancora su tecniche di ingegneria sociale, inducendo gli utenti a eseguire comandi specifici nel Terminale di macOS tramite pagine web malevole. Una volta eseguito uno script preliminare (dropper), il componente principale viene scaricato, gli indicatori visivi del Terminale vengono nascosti e viene presentato un finto prompt di sistema che richiede l'inserimento della password di accesso. Questo ingannevole prompt è progettato per imitare fedelmente le finestre di sistema di macOS, rendendo difficile per l'utente distinguere la frode. La password inserita viene poi utilizzata per accedere al Keychain locale di Apple, il gestore integrato delle credenziali.
Una caratteristica distintiva di ICMacOS è la sua capacità di adattarsi a diverse architetture hardware di Mac, distinguendo tra sistemi basati su Apple Silicon (architettura ARM64) e processori Intel (architettura AMD64) per distribuire il payload appropriato. Questa flessibilità assicura la sua efficacia su un'ampia gamma di dispositivi.
Il payload principale di ICMacOS, un eseguibile binario a 64 bit scritto in Go, ha ampliato notevolmente la sua portata. Le prime versioni erano focalizzate sul furto di informazioni (infostealer), raccogliendo dati sensibili come credenziali di navigazione, cookie, cronologia, dati dai gestori di password, portafogli di criptovalute, sessioni Telegram, token Discord, database di WhatsApp, dati di iMessage e note di Apple.
Particolarmente preoccupante è la sua capacità di estrarre credenziali di sviluppatore, inclusi profili AWS, configurazioni Kubernetes, file di autenticazione Docker, token GitHub CLI, chiavi private SSH, file .env e cronologie della shell. L'estrazione dei dati dal Keychain è potenziata dall'uso della libreria open-source keychainbreaker, che può decifrare i file .keychain-db se l'attaccante possiede la password dell'utente. In alternativa, il malware tenta di ottenere l'approvazione dell'utente per operazioni a livello amministrativo tramite un altro finto prompt di sistema.
Le versioni più recenti (versione 2) segnano un salto di qualità, trasformando l'infostealer in un RAT completo. Per garantire la persistenza, il malware crea un LaunchAgent denominato com.apple.systemupdater.plist, un nome scelto per mascherarsi da componente legittimo di Apple. Questo meccanismo utilizza le funzionalità KeepAlive e intervalli pianificati per riavviare il malware anche dopo la terminazione del processo o i riavvii del sistema.
Inoltre, la variante più recente stabilisce un canale di comunicazione Command and Control (C2) basato su WebSocket. Questo permette agli aggressori di inviare comandi da remoto e ricevere l'output in tempo reale, trasformando un'infezione iniziale focalizzata sul furto di dati in un controllo interattivo e continuo del Mac compromesso.
ICMacOS viene commercializzato tramite un modello di abbonamento, abbassando significativamente la barriera d'ingresso per criminali informatici meno esperti ma motivati finanziariamente. La combinazione di un infostealer avanzato, capacità RAT e facile accesso tramite MaaS rende questa minaccia particolarmente pericolosa e scalabile.
L'evoluzione di ICMacOS riflette una tendenza più ampia nel settore delle minacce macOS: gli infostealer stanno sempre più diventando strumenti di accesso persistente, piuttosto che malware monouso per la raccolta di dati. Questo fenomeno è in linea con la crescente complessità delle strategie di attacco, dove la persistenza e il controllo a lungo termine sono obiettivi primari.
Parallelamente all'evoluzione di ICMacOS, una recente vulnerabilità critica scoperta in Docker Hub (CVE-2026-105445) getta luce su potenziali rischi nella supply chain del software. Questa falla, rimasta aperta per oltre due anni (dal 26 agosto 2024 fino alla correzione avvenuta il 30 settembre 2026), permetteva a un attaccante di impersonare un utente legittimo sfruttando un Personal Access Token (PAT). La vulnerabilità era legata alla funzionalità che converte un account personale in un'organizzazione: durante questo processo, i PAT dell'account personale venivano trasferiti al nuovo proprietario dell'organizzazione, mantenendo la loro validità e i permessi originari.
Docker ha classificato questa falla come critica, assegnandole un punteggio CVSS 4.0 di 9.4. L'impatto potenziale includeva la possibilità per un attaccante di pubblicare immagini sotto un nome legittimo, compromettendo la fiducia nella supply chain. Sebbene Docker abbia dichiarato di non aver trovato prove di sfruttamento attivo, ha notificato gli utenti potenzialmente interessati e disattivato i PAT trasferiti. Le modifiche implementate impediscono ora il trasferimento automatico di PAT durante la conversione di account e richiedono il consenso esplicito dell'utente.
La vulnerabilità, denominata GhostPat dai ricercatori Peter Molnar e Krisztian Hozak di mptrdev.com, è stata corretta da Docker in meno di quattro ore dalla segnalazione. Docker ha analizzato ogni conversione di account effettuata durante il periodo di vulnerabilità, esaminando circa 304.000 push effettuati con token trasferiti, ma non ha trovato evidenze di sfruttamento attivo. Tuttavia, per precauzione, ha trattato ogni token trasferito come potenzialmente compromesso.
Per difendersi da minacce come ICMacOS e mitigare i rischi legati alla supply chain, utenti e organizzazioni dovrebbero prestare attenzione a:
osascript./tmp).È fondamentale che gli utenti non incollino mai comandi nel Terminale o nell'Editor Script se richiesto da fonti non attendibili. Le organizzazioni dovrebbero implementare politiche di restrizione dei privilegi amministrativi locali, utilizzare soluzioni di Endpoint Detection and Response (EDR) per macOS, monitorare attivamente i LaunchAgent, ruotare regolarmente le credenziali esposte e condurre audit di sicurezza periodici.
L'adozione di un approccio proattivo alla sicurezza, che includa la formazione continua degli utenti e la vigilanza contro la normalizzazione delle eccezioni di sicurezza, è cruciale per mitigare i rischi posti da minacce in continua evoluzione come ICMacOS. Inoltre, la recente vulnerabilità di Docker Hub sottolinea l'importanza di mantenere aggiornate le piattaforme di sviluppo e di essere consapevoli dei rischi associati alla supply chain del software, implementando controlli rigorosi sui token e sui processi di autenticazione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.