สรุปสั้น
หน่วยวิจัยภัยคุกคามของบริษัท SOCRadar เปิดเผยมัลแวร์แบบให้บริการ (malware-as-a-service) บน macOS ชื่อ ICMacOS หรือ Icarus macOS ที่ผู้ไม่หวังดีพูดภาษารัสเซียชื่อ GlowComa โฆษณาขายบนฟอรัมอาชญากรรมไซเบอร์และ Telegram ตั้งแต่ต้นเดือนกันยายน 2569 ในรูปแบบสมัครสมาชิก เป็นส่วนหนึ่งของชุดเครื่องมือ “ICARUS” ที่รวมแผงควบคุมสำหรับส่งมัลแวร์ด้วย ClickFix และตัวดักเปลี่ยนที่อยู่กระเป๋าคริปโต (clipper) มัลแวร์ใช้หน้าต่างระบบของ Apple ปลอมขโมยรหัสผ่านล็อกอิน ตรวจความถูกต้องกับ Keychain ของเหยื่อ แล้วจึงปล่อย payload หลักที่ขโมยข้อมูลจำนวนมาก
จุดเปลี่ยนสำคัญอยู่ที่เวอร์ชัน 2 ซึ่งยกระดับจากตัวขโมยข้อมูลครั้งเดียวเป็น Remote Access Trojan (RAT) ที่ฝังตัวถาวรด้วย LaunchAgent ปลอมชื่อ com.apple.systemupdater.plist และเปิดช่อง C2 ผ่าน WebSocket ให้ผู้โจมตีสั่งคำสั่ง shell และเห็นผลลัพธ์แบบเรียลไทม์ มัลแวร์รองรับทั้งเครื่อง Apple Silicon และ Intel จึงใช้ได้กับเครื่อง Mac เกือบทุกรุ่นในองค์กร ส่วนเป้าหมายที่คุ้มค่าที่สุดคือเครื่องของนักพัฒนาที่เก็บกุญแจคลาวด์ คีย์ SSH และโทเคนต่าง ๆ
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 13 ตุลาคม 2569 อ้างอิงการวิเคราะห์ของ SOCRadar ว่า ICMacOS สะท้อนการทำ macOS malware ให้เป็นสินค้าเชิงพาณิชย์อย่างต่อเนื่อง การที่ GlowComa ขายบริการคู่กับแผง ClickFix ให้ affiliate ช่วยลดกำแพงให้อาชญากรที่มุ่งหวังเงินสามารถรันแคมเปญขโมยข้อมูลรับรองบน macOS ได้ในวงกว้าง
รายงานยกสถิติจากแบบสำรวจของ Stack Overflow ปี 2568 ว่า macOS เป็นระบบปฏิบัติการหลักในการทำงานของนักพัฒนามืออาชีพถึง 32.9% ทำให้เครื่องนักพัฒนากลายเป็นเส้นทางเข้าถึงบัญชีคลาวด์ คีย์ SSH repository ซอร์สโค้ด registry ของแพ็กเกจ และกระเป๋าคริปโต ขณะที่ Moonlock รายงานว่า ClickFix ยังเป็นเทคนิคเข้าถึง macOS ที่ครองอันดับต้น เพราะเหยื่อเป็นผู้รันคำสั่งเอง จึงหลบการป้องกันที่เน้นตรวจไฟล์ได้หลายชั้น
SOCRadar มองว่า ICMacOS เป็นตัวอย่างของแนวโน้มที่ใหญ่กว่า คือมัลแวร์ขโมยข้อมูลบน macOS กำลังเปลี่ยนจากเครื่องมือเก็บข้อมูลครั้งเดียวเป็นเครื่องมือเข้าถึงถาวร รายงานที่เผยแพร่ไม่ได้ระบุจำนวนเหยื่อ ราคาบริการ หรือประเทศเป้าหมาย
วิธีการโจมตี
การส่งมัลแวร์ เหยื่อถูกพาไปยังหน้า ClickFix ที่หลอกให้คัดลอกคำสั่งไปวางรันใน Terminal ตัว dropper แบบ Bash จะดาวน์โหลดคอมโพเนนต์ขั้นที่สอง ซ่อนร่องรอยของหน้าต่าง Terminal แล้วแสดงหน้าต่าง “System Preferences” ปลอมขอรหัสผ่าน รหัสที่ได้จะถูกตรวจกับ login Keychain ของเครื่องก่อน เมื่อถูกต้องจึงดึง payload ตัวสุดท้ายมารัน มัลแวร์ใช้คำสั่ง uname -m แยกเครื่อง Apple Silicon กับ Intel เพื่อส่ง payload ARM64 หรือ AMD64 ให้ตรงสถาปัตยกรรม
เวอร์ชัน 1 — ขโมยข้อมูล payload หลักเป็นไบนารี Mach-O 64 บิตที่เขียนด้วยภาษา Go เก็บรหัสผ่าน คุกกี้ และประวัติจากเบราว์เซอร์ ข้อมูลโปรแกรมจัดการรหัสผ่าน ไฟล์กระเป๋าคริปโต เซสชัน Telegram โทเคน Discord ฐานข้อมูล WhatsApp ข้อมูล iMessage และ Apple Notes รวมถึงข้อมูลรับรองของนักพัฒนา ได้แก่ โปรไฟล์ AWS คอนฟิก Kubernetes ไฟล์ยืนยันตัวตน Docker โทเคน GitHub CLI คีย์ SSH ส่วนตัว ไฟล์ .env และประวัติคำสั่ง shell
ถอดรหัส Keychain มัลแวร์ฝังไลบรารีโอเพนซอร์ส keychainbreaker ที่เขียนด้วย Go ซึ่งถอดรหัสไฟล์ login.keychain-db ได้เมื่อมีรหัสผ่านล็อกอินของผู้ใช้ ดึงได้ทั้งรหัสผ่านทั่วไป รหัสผ่านอินเทอร์เน็ต คีย์ส่วนตัว และใบรับรอง หากถอดแบบออฟไลน์ไม่สำเร็จ จะหันไปใช้เครื่องมือ security ของ macOS พร้อมหน้าต่างปลอมอีกชุดเพื่อหลอกให้เหยื่ออนุมัติการทำงานระดับผู้ดูแลระบบ
เวอร์ชัน 2 — RAT สร้าง LaunchAgent ชื่อ com.apple.systemupdater.plist ที่ตั้งชื่อเลียนแบบคอมโพเนนต์ของ Apple ใช้ KeepAlive และรอบเวลาที่กำหนดเพื่อรันมัลแวร์กลับมาเมื่อโปรเซสถูกปิดหรือผู้ใช้ล็อกอินใหม่ และเปิดช่อง C2 แบบ WebSocket ให้ผู้โจมตีส่งคำสั่ง shell และรับผลลัพธ์ทันที
ผลกระทบ
การติดเชื้อ ICMacOS เครื่องเดียวบนเครื่องนักพัฒนาอาจเปิดทางไปสู่ทั้งบัญชีคลาวด์ ระบบ CI/CD repository และ registry ของแพ็กเกจ ซึ่งต่อยอดเป็นการโจมตีห่วงโซ่อุปทานได้ การได้รหัสผ่านล็อกอินพร้อม Keychain ที่ถอดรหัสแล้วยังทำให้ผู้โจมตีเข้าถึงรหัสผ่านที่ผู้ใช้คิดว่าเก็บไว้อย่างปลอดภัย
เมื่อเวอร์ชัน 2 เพิ่มการคงอยู่และ C2 แบบโต้ตอบ เหตุการณ์จะเปลี่ยนจาก “ข้อมูลรั่วครั้งเดียว” เป็น “ผู้โจมตีอยู่ในเครื่องต่อเนื่อง” การหมุนรหัสผ่านหลังพบเหตุอย่างเดียวจึงไม่พอ ต้องกำจัดมัลแวร์ออกให้หมดก่อน ไม่เช่นนั้นข้อมูลรับรองชุดใหม่ก็จะถูกขโมยซ้ำ
คำแนะนำ
- อบรมผู้ใช้ Mac ว่าห้ามวางคำสั่งลงใน Terminal หรือ Script Editor เพราะเว็บไซต์ CAPTCHA เอกสาร ผู้สรรหางาน หรือหน้าประชุมออนไลน์สั่งให้ทำ
- เฝ้าระวังกิจกรรม Terminal หรือ
osascriptที่ไม่คาดคิด หน้าต่างยืนยันตัวตนปลอม LaunchAgent ใหม่ในโฟลเดอร์ผู้ใช้ (โดยเฉพาะชื่อเลียนcom.apple.*) และโปรเซสที่รันจาก/tmp - ตรวจการเข้าถึงไฟล์ Keychain ฐานข้อมูลโปรไฟล์เบราว์เซอร์ โฟลเดอร์ข้อมูลรับรองคลาวด์ และตำแหน่งเก็บความลับของนักพัฒนา รวมถึงการเชื่อมต่อขาออกไปยังโดเมนหรือ WebSocket ที่ไม่รู้จัก
- จำกัดสิทธิ์ผู้ดูแลระบบในเครื่อง ติดตั้ง EDR สำหรับ macOS และตรวจ LaunchAgent เป็นระยะ
- เครื่องที่อาจป้อนรหัสผ่านให้หน้าต่างที่ไม่น่าเชื่อถือ ให้สอบสวนทันที ล้างมัลแวร์ แล้วหมุนเวียนข้อมูลรับรองนักพัฒนาและคลาวด์ทั้งหมด
- บล็อก indicator ในตาราง IoC บน DNS/proxy/firewall
Indicators of Compromise (IoCs)
indicator ทั้งหมด defang แล้ว (เช่น
[.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| Domain | escapeai[.]live | หน้าล็อกอิน ICMacOS |
| Domain | mikoblico[.]xyz | หน้าล็อกอิน ICMacOS |
| IP Address | 85.137.253[.]61 | หน้าล็อกอิน ICMacOS |
| IP Address | 45.13.186[.]247 | หน้าล็อกอิน ICMacOS |
| URL | hxxps[://]escapeai[.]live/api/build_config | URL ดาวน์โหลด build ของ ICMacOS |
| URL | hxxps[://]escapeai[.]live/icmacos_run_v2[.]command?t={date} | URL ดาวน์โหลดตัวติดตั้ง ICMacOS |