Разкрита е зловредна кампания от Cato Networks, която използва спонсорирана реклама при търсене и фалшива страница за изтегляне на OpenAI Codex, за да подмами потребителите на macOS да поставят злонамерена команда в Terminal.
Това е вариация на „ClickFix“ – популярна техника за социално инженерство, която убеждава жертвите сами да изпълнят стъпката за заразяване, вместо да отварят зловреден файл.
Атаката започва със спонсориран резултат от търсенето при заявки като „codex macos download“. Рекламата се появява над оригиналния списък на OpenAI и пренасочва посетителите към страница, хоствана в Google Sites, която имитира портал за изтегляне на OpenAI Codex, допълнен с опции за macOS и Linux.
„Наблюдавахме активно доставяне на зловреден код за macOS, но не и за Linux“, споделят изследователите.
„Видимата страница на Google Sites е само фронтендът. Тя вгражда контролирано от атакуващия съдържание чрез iframe, вероятно заредено през прокси за статично съдържание на Google“, обясняват те.
Cato картографира три набора от инфраструктура, всеки от които сочи към отделен хост на iframe, което позволява на операторите да сменят злонамереното съдържание, без да променят първоначалната примамка в Google Sites.
Поставената команда в терминала стартира многостепенна атака. Един от тези набори използва трик за избягване на откриването. Злонамерената страница се зарежда от /codexx/, докато по-очевидният път /codex/ показва безобидна фалшива продуктова страница. На посетителите, използващи устройства, различни от Mac, също се показва безопасната версия.
От Cato посочват, че този тип филтриране „може да подведе аналитиците и автоматичните скенери“, тъй като заявките, които не съвпадат с целевия профил на атакуващите, може никога да не се срещнат със злонамереното съдържание.
Жертвите, които достигнат до злонамерената страница, получават инструкции да отворят Terminal и да поставят команда, която първоначално прилича на нормален ред за инсталиране на Codex. Вместо това тя декодира Base64-кодиран URL адрес и изтегля скрипт, който се предава към zsh, стартирайки многостепенна верига на заразяване.
Първият етап действа като зареждаща програма (loader), която декодира и изпълнява вграден скрипт. Следващият етап изпраща заявка до сървъра на атакуващите, за да регистрира, че командата е била поставена, след което изтегля друг файл в /tmp/helper.
Освен това се използва xattr -c за премахване на разширените атрибути на файла, преди да го направи изпълним и да го стартира.
Крайният зловреден код е универсален Mach-O двоичен файл, способен да работи както на компютри Mac, базирани на Intel, така и на системи с Apple Silicon.
Cato открива силни прилики между веригата на доставяне на зловредния код и Atomic macOS Stealer (AMOS) – семейство зловреден софтуер за кражба на информация, документирано в публични проучвания за сигурност.
„Припокриването включва Base64-декодирани curl зареждащи програми, компресирани и обфускирани zsh етапи, телеметрични заявки към /api/metrics/run?event=pasted, уникално структурирани URL адреси за актуализиране, универсални Mach-O файлове със зловреден код, разположени в /tmp/helper, премахване на разширените атрибути и изпълнение на зловредния код“, пишат изследователите.
Кампанията не се ограничава само до имитиране на Codex на OpenAI. Cato разкрива и свързана инфраструктура зад подобна целева страница, имитираща Claude Code, въпреки че тази страница е била хоствана извън Google Sites.
„За организациите ключовият извод е, че надежден резултат от търсенето, легитимна услуга за хостинг и позната марка за инструменти за разработчици могат да бъдат комбинирани в достоверен път за изпълнение на зловреден софтуер“, заключват изследователите.