Jamf researchers have detailed a Mac backdoor called ChillyHell that passed Apple's notarization checks in 2021 and went unnoticed until very recently.

'We do believe that this was likely the creation of a cybercrime group,' threat hunter tells The Reg ChillyHell, a modular macOS backdoor believed to be long dormant, has likely been infecting computers for years while flying under the radar, according to security researchers who spotted a malware sample uploaded to VirusTotal in May.…

Discover its origin, how it compromises macOS and more importantly, how the JTL detected this malicious threat to keep Jamf customers safe.

With multiple persistence mechanisms, the modular malware can brute-force passwords, drop payloads, and communicate over different protocols.

Cybersecurity researchers have discovered two new malware families, including a modular Apple macOS backdoor called CHILLYHELL and a Go-based remote access trojan (RAT) named ZynorRAT that can target both Windows and Linux systems. According to an analysis from Jamf Threat Labs, ChillyHell is written in C++ and is developed for Intel architectures. CHILLYHELL is the name assigned to a malware

: 'We do believe that this was likely the creation of a cybercrime group,' threat hunter tells The Reg

New malware incorporates technology to make it more difficult to detect.

Sikkerhetsforskere gir en oppdatering på «Chillyhell».

  Jamf Threat Labs has published a new report highlighting the resurgence of Mac malware known as ChillyHell. Initially detected in 2021 and later privately disclosed by cybersecurity company Mandiant in 2023, the malware resurfaced this past May when Jamf identified a fresh sample on VirusTotal—a platform used for analyzing suspicious files and URLs. Once a Mac is compromised, ChillyHell can steal sensitive data such as usernames and passwords. What sets this malware apart is its ability to use timestomping—altering file timestamps—and its capability to switch C2 protocols to bypass detection. According to Jamf, “the developer certificates associated with ChillyHell have been revoked.” While this action restricts its ongoing development, it doesn’t mean the malware has completely disappeared from circulation. How Mac Users Can Stay Protected from Malware To minimize the risk of infection, avoid downloading applications from unverified sources such as GitHub or third-party websites. The Mac App Store remains the safest place to install apps, as Apple rigorously vets software before publishing. Alternatively, purchase apps directly from trusted developers via their official websites. Using cracked or pirated software dramatically increases the risk of malware exposure. Users should also avoid clicking links in unsolicited emails or messages. If a message appears legitimate, verify the sender’s email and check the link carefully. On a Mac, you can Control-click a link, choose Copy Link Address, and paste it into a text editor to preview the real URL before visiting. For additional security, Macworld offers resources such as a guide on whether antivirus software is necessary, a detailed list of Mac viruses and trojans, and a comparison of the best Mac security software available. Apple also provides built-in protections in macOS and releases regular security updates. Installing these updates promptly is essential, as Apple reissues corrected patches if any flaws are found.

Desenvolvido em 2021, o malware ChillyHell pode ter infectado Macs sem ser detectado ao longo de quatro anos, de acordo com pesquisadores da empresa de segurança cibernética Jamf. Uma nova amostra do agente malicioso foi identificada em maio, indicando que ele está ativo e evoluindo. Conforme comunicado divulgado na segunda-feira (8), o malware passou pelo processo de autenticação da Apple como um software aparentemente legítimo em 2021. **Desde então, vinha sendo distribuído como um programa para Macs com processadores Intel** , nos quais pode ter se instalado de maneira oculta. O malware foi distribuído como programa legítimo durante quatro anos. (Imagem: Jamf Threat Labs/Divulgação) ## Como age o ChillyHell? Quando instalado no dispositivo, o malware para Macs utiliza diferentes táticas para permanecer oculto. Uma delas é o “timestomping”, que consiste na alteração das informações sobre data e horário dos arquivos criados, fazendo-os parecer mais antigos, o que dificulta identificar quando a infecção aconteceu. * O agente malicioso também possui vários meios de se manter ativo no computador, como se programar para iniciar todas as vezes que o usuário fizer login; * Outra possibilidade é o disfarce como programa que executa tarefas de manutenção do sistema em segundo plano; * Já para minimizar as suspeitas do usuário, o ChillyHell pode abrir uma página do Google no navegador padrão ao se comunicar com seus servidores de controle; * Ao se conectar a eles, **o malware fornece uma linha de comando para que os invasores controlem o Mac remotamente e realizem ataques para quebrar as senhas do usuário**. A primeira detecção deste vírus para macOS aconteceu em 2023, quando a Mandiant o identificou em um ciberataque realizado pelo grupo UNC4487 contra membros do governo da Ucrânia. Na ocasião, ele ajudou a comprometer um site de seguros de automóveis que era utilizado pelas autoridades. No entanto, a empresa manteve os detalhes em sigilo, deixando a comunidade em geral sem saber da sua existência. Dessa forma, ele continuou agindo em silêncio, sem ser detectado pelas ferramentas de segurança, mas **agora a Apple o sinalizou como malware e revogou os certificados do desenvolvedor associados ao ChillyHell**. Com chips da própria Apple, o MacBook Air não é alvo do malware. (Imagem: Getty Images) ## Macs infectados pelo ChillyHell continuam em risco A aprovação do malware como um programa legítimo pelo sistema de verificação da Apple pode ter sido facilitada pela divisão de suas cargas úteis em módulos, segundo o relatório. Além disso, ele possuía a assinatura de um desenvolvedor e não apresentava comportamentos fora do padrão. Com a sua sinalização pela gigante de Cupertino, a distribuição do ChillyHell para novas vítimas fica comprometida, mas os Macs infectados continuam em risco. Neste caso, **é necessário que o usuário faça a remoção do malware manualmente** , por meio de programas de segurança adequados. Para reduzir os riscos de instalar softwares maliciosos, a Apple recomenda realizar downloads somente de fontes oficiais, como a App Store, sempre verificando a procedência do desenvolvedor. Outra dica é manter o sistema operacional atualizado. Gostou do conteúdo? Continue acompanhando as notícias mais recentes no TecMundo e compartilhe-as nas redes sociais com os amigos.

CHILLYHELL macOS malware, notarized since 2021, exposed May 2025 with flexible persistence and C2 evasion tactics.

Jaron Bradley, Director of Jamf Threat Labs, is sharing their work on "ChillyHell: A Deep Dive into a Modular macOS Backdoor." Jamf Threat Labs uncovers a newly notarized macOS backdoor called ChillyHell, tied to past UNC4487 activity and disguised as a legitimate applet. The malware showcases robust host profiling, multiple persistence mechanisms, timestomping, and flexible C2 communications over both DNS and HTTP. Its modular design includes reverse shells, payload delivery, self-updates, and a brute-force component targeting user credentials. The research can be found here: ⁠ChillyHell: A Deep Dive into a Modular macOS Backdoor

A previously dormant macOS threat, ChillyHell, is reviving. Read how this malware can bypass security checks, remain hidden,…

'We do believe that this was likely the creation of a cybercrime group,' threat hunter tells The Reg ChillyHell, a modular macOS backdoor believed to be long dormant, has likely been infecting computers for years while flying under the radar, according to security researchers who spotted a malware sample uploaded to VirusTotal in May.…