一款针对Mac的木马正在俄语暗网论坛上明码标价：699美元一周。它叫ICMacOS，也叫Icarus macOS，最初只是个基础的数据窃取器，新版本却能长期潜伏、扛住重启，还能执行运营者下发的命令。

打开网易新闻 查看精彩图片

SOCRadar威胁研究团队在2026年9月首次识别到这款恶意软件，10月12日发布了详细报告。卖家代号GlowComa，是一个自2026年1月起活跃、以经济动机驱动的攻击者，以MADHASH加密货币盗取联盟组织的名义推广这款工具。

Moonlock Lab的研究人员指出，ICMacOS是暗网上售价最低的macOS窃取器。Moonlock的报告中引用了SOCRadar的数据，并与其他Mac威胁做了价格对比：

  • AMOS：据报道每月3000美元
  • Banshee：每月1500至3000美元
  • MacSync：每月1000至1500美元

这些数字基于历史报道价格。卖家在地下市场的口碑也参差不齐，Exploit.in上有多起关于效果差、服务慢的纠纷。

感染从一行粘贴开始

攻击入口是伪造的网页，诱导受害者复制一段命令并粘贴进终端。命令会下载一个投放脚本，脚本隐藏终端窗口，弹出伪造的系统偏好设置提示，索要登录密码。

投放脚本会用这个密码去核对登录钥匙串，最多允许尝试五次。随后它判断Mac用的是Apple Silicon还是Intel芯片，下载对应的载荷。

这种诱导手法与微软研究人员自1月起追踪的伪造磁盘清理活动相似。最大的变化出现在第二版：窃取模块保留，同时增加了与攻击者服务器的实时WebSocket连接。

运营者可以发送命令，通过/bin/sh执行，输出结果实时回传。恶意软件还会安装一个名为com.apple.systemupdater.plist的LaunchAgent，名字刻意模仿正常的苹果进程。

进程停止后它会自动重启，并且每60分钟再运行一次作为备份。它还会检查系统语言和受害者的公网IP位置，在俄罗斯及其他独联体国家的系统上停止运行。

主要目标没变，仍是窃取金钱和数据，但远程访问功能让攻击者能在机器里待得更久。

开发者为什么最危险

ICMacOS收集的数据范围很广：浏览器密码和Cookie、加密货币钱包、29款浏览器扩展、钥匙串数据，以及Telegram、WhatsApp、Discord等通讯应用。

开发者面临的风险最大，因为恶意软件会专门搜索SSH密钥、AWS和Kubernetes配置、Git凭据以及.env文件。

Picus Security的Umut Bayram警告，一台被攻陷的笔记本电脑，可能成为通往公司代码、云系统和客户的入口。Coles Technical Group的Kevin M. Coles补充说，开发者和高管经常使用Mac，这些机器上存着SSH密钥、云登录凭据和加密钱包。

降低风险的习惯并不复杂：不要把网站上的命令粘贴进终端，软件只从可信来源下载。苹果已经对部分高风险粘贴命令增加了警告，但未必能覆盖所有情况。Moonlock本身销售Mac安全应用，其建议需结合这一背景看待，不过关于检查应用隐私政策的提示仍然适用。