B
今週中
macOSを標的とした情報窃取ツール「ICMacOS」の最新バージョンが、リモートアクセス機能を備えたRAT（リモートアクセストロイの木馬）へと進化しました
📌 一言でいうと
macOSを標的とした情報窃取ツール「ICMacOS」の最新バージョンが、リモートアクセス機能を備えたRAT（リモートアクセストロイの木馬）へと進化しました。このマルウェアは、ブラウザの認証情報や暗号資産ウォレットなどの窃取に加え、WebSocketsを用いたC2通信とLaunchAgentsによる永続化を実現しています。特に、Appleの正規サービスを装った「com.apple.systemupdater」という名称でシステムに潜伏し、再起動後も自動的に実行される仕組みを持っています。
🔍該当判定
- 社内でMac（macOS）を業務利用している
- Macでブラウザ（ChromeやSafari等）にパスワードを保存して利用している
- Macでパスワード管理ソフトや仮想通貨ウォレットを利用している
- Macで開発業務（APIキーや秘密鍵の管理）を行っている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なファイルの実行を避け、macOSのセキュリティアップデートを最新に保つこと。また、~/Library/LaunchAgents 配下に不審なプロパティリスト（特に Apple のサービスを装ったもの）が存在しないか確認することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】macOS標的のRAT「ICMacOS」の機能拡張について
お疲れさまです。macOSを標的としたマルウェアICMacOSに関する情報共有です。
■ 概要
従来の情報窃取機能に加え、WebSocketsを用いたC2通信およびリモートコマンド実行機能が実装されたRATへと進化しました。LaunchAgentsを利用して永続化を図り、再起動後も動作を継続します。
■ 影響範囲
- 対象製品: macOS
- 永続化ファイル名: com.apple.systemupdater (LaunchAgent)
■ 対応手順
1. エンドポイントにおける ~/Library/LaunchAgents 配下の不審なplistファイルの監視・検知ルールの適用
2. WebSocketsを用いた不審な外部通信のトラフィック分析
3. macOSの最新セキュリティパッチの適用徹底
■ 参考情報
- SOCRadar 分析レポート
対応優先度: 中
対応期限: 随時
お疲れさまです。macOSを標的としたマルウェアICMacOSに関する情報共有です。
■ 概要
従来の情報窃取機能に加え、WebSocketsを用いたC2通信およびリモートコマンド実行機能が実装されたRATへと進化しました。LaunchAgentsを利用して永続化を図り、再起動後も動作を継続します。
■ 影響範囲
- 対象製品: macOS
- 永続化ファイル名: com.apple.systemupdater (LaunchAgent)
■ 対応手順
1. エンドポイントにおける ~/Library/LaunchAgents 配下の不審なplistファイルの監視・検知ルールの適用
2. WebSocketsを用いた不審な外部通信のトラフィック分析
3. macOSの最新セキュリティパッチの適用徹底
■ 参考情報
- SOCRadar 分析レポート
対応優先度: 中
対応期限: 随時
Subject: [Intel] Evolution of macOS RAT "ICMacOS"
Dear team,
We are sharing intelligence regarding the evolution of the ICMacOS malware.
■ Overview
ICMacOS has transitioned from a credential stealer to a Remote Access Trojan (RAT). It now supports remote command execution via WebSockets and ensures persistence using macOS LaunchAgents.
■ Scope
- Target: macOS
- Persistence Mechanism: Property list named 'com.apple.systemupdater' in the user's Library/LaunchAgents folder.
■ Recommended Actions
1. Monitor and audit ~/Library/LaunchAgents for unauthorized plist files, specifically those mimicking Apple services.
2. Analyze network traffic for anomalous WebSocket connections to unknown C2 servers.
3. Ensure all macOS endpoints are fully patched.
■ Reference
- SOCRadar Analysis
Priority: Medium
Deadline: Ongoing
Dear team,
We are sharing intelligence regarding the evolution of the ICMacOS malware.
■ Overview
ICMacOS has transitioned from a credential stealer to a Remote Access Trojan (RAT). It now supports remote command execution via WebSockets and ensures persistence using macOS LaunchAgents.
■ Scope
- Target: macOS
- Persistence Mechanism: Property list named 'com.apple.systemupdater' in the user's Library/LaunchAgents folder.
■ Recommended Actions
1. Monitor and audit ~/Library/LaunchAgents for unauthorized plist files, specifically those mimicking Apple services.
2. Analyze network traffic for anomalous WebSocket connections to unknown C2 servers.
3. Ensure all macOS endpoints are fully patched.
■ Reference
- SOCRadar Analysis
Priority: Medium
Deadline: Ongoing