Místo Codexu malware: falešná reklama přiměla vývojáře spustit příkaz v Terminálu

Bezpečnostní výzkumníci z týmu Cato CTRL společnosti Cato Networks popsali kampaň, která proměnila běžné hledání vývojářského nástroje v řetězec vedoucí k malwaru. Sponzorované výsledky Googlu pro dotazy jako „codex macos download“ posílaly návštěvníky na přesvědčivou napodobeninu oficiální stránky OpenAI Codexu umístěnou v Google Sites. Stránka nenabízela standardní instalátor aplikace. Místo toho uživatele přesvědčila, aby sami spustili škodlivý příkaz v Terminálu. 2910

Past začínala u sponzorovaného výsledku

Kampaň cílila na lidi, kteří už aktivně hledali způsob, jak Codex nainstalovat do macOS. Podvodná reklama se zobrazovala vedle legitimních výsledků, případně nad nimi, a odkazovala na stránku stylizovanou jako oficiální download portál OpenAI. Nabízela volby pro macOS i Linux, výzkumníci však zaznamenali aktivní doručování škodlivého obsahu pouze pro macOS. 510

Použití legitimní domény Google Sites pomohlo stránce působit méně podezřele než nově registrovaný web spojený s malwarem. Podle dostupného zpravodajství útočníci navíc využili ukradené účty Google Ads, takže reklamy mohly vypadat jako kampaně zavedených inzerentů. 12

ClickFix přesunul rozhodující krok na oběť

Falešný portál uživatele nevyzýval ke stažení a otevření podezřelého souboru DMG. Místo toho mu přikázal otevřít Terminál a vložit připravený příkaz. Jde o techniku sociálního inženýrství známou jako ClickFix: útočník předloží údajný instalační nebo opravný krok, ale skutečné spuštění infekce provede samotná oběť. 21213

Příkaz začínal věrohodně vypadajícím řetězcem pro instalaci balíčku přes npm, který mohl připomínat běžné nastavení Codexu. Ve skutečnosti dekódoval z Base64 skrytou URL, stáhl vzdálený skript a předal jeho výsledek shellu zsh v macOS. 3413

Tento postup zneužívá zkušenost vývojářů s příkazovou řádkou. Zároveň odstraňuje jeden nápadný varovný signál: uživatel před spuštěním neotevírá nečekaný instalační soubor, který by mohl zkontrolovat. Rozhodnutí o důvěře je místo toho prezentováno jako prosté zkopírování instalačního příkazu z údajně oficiální stránky. 212

Řetězec skončil podezřením na AMOS

Dostupné informace popisují vícestupňové doručování. Po spuštění vloženého příkazu další skripty stáhly finální spustitelný soubor Mach-O, uložily ho jako /tmp/helper, odstranily jeho rozšířené atributy pomocí xattr -c, nastavily mu příznak spustitelnosti a následně ho spustily. 3411

Odstranění rozšířených atributů může z macOS odstranit metadata související s karanténou a omezit počet bezpečnostních upozornění při otevření staženého souboru. 411 Technické zprávy uvádějí, že výsledný binární soubor podporoval procesory Intel i Apple Silicon. 1521

Cato popsalo výraznou podobnost s veřejně zdokumentovanou hrozbou Atomic macOS Stealer, běžně označovanou jako AMOS. Další zpravodajství náklad označilo za podezřelý infostealer AMOS, nikoli za legitimní součást Codexu. 29 Tento malware je spojován s krádežemi dat z prohlížečů, přihlašovacích údajů a informací z kryptoměnových peněženek. 1

Důvěryhodné služby zakryly podvod

Úspěch kampaně nestál na jediném mimořádně sofistikovaném exploitu. Útočníci zkombinovali několik známých signálů:

• Záměr vyhledávání: reklama zasáhla lidi, kteří právě hledali instalaci Codexu.
• Placené umístění: sponzorovaný výsledek se objevil na výrazném místě ve Vyhledávání Google. 912
• Hosting od Googlu: cílová stránka využívala legitimní doménu sites.google.com. 29
• Napodobení značky: web převzal známý vzhled a branding OpenAI Codexu. 1012
• Jazyk vývojářů: příkaz připomínal běžnou instalaci pomocí npm. 35
• Spuštění uživatelem: technika ClickFix přiměla oběť spustit příkaz místo otevření nevyžádaného instalátoru. 213

Falešný portál navíc používal iframe, který zobrazoval obsah ovládaný útočníky z jiné škodlivé domény. Viditelná stránka si tak mohla zachovat důvěryhodnost Google Sites, zatímco útočníci získali větší kontrolu nad samotným instalačním prostředím. 9

Některé další popisy kampaně zmiňují obcházení detekce pomocí přesných odpovědí podle zařízení a URL nebo výměnu nákladu. Dodané podklady však samostatně nepotvrzují každý z těchto implementačních detailů, proto je nelze považovat za spolehlivě doložené vlastnosti celé kampaně.

Co si z toho mají odnést vývojáři používající Mac

Nejdůležitější pravidlo je jednoduché: příkaz zkopírovaný ze stránky pro stažení je stále kód, který se má spustit. Sponzorovaný výsledek ve vyhledávači, známé logo ani adresa hostovaná u Googlu nejsou důkazem, že instrukce pocházejí od legitimního vydavatele.

Instalační příkazy pro vývojářské nástroje proto vyžadují stejnou opatrnost jako stažené binární soubory. Ověřte si vydavatele a postup instalace přes známé oficiální kanály produktu. Do Terminálu nevkládejte neprůhledné příkazy a zpozorněte zejména u těch, které obsahují zakódované adresy nebo stahují vzdálené skripty.

Kampaň ukazuje, že současný malware často necílí přímo na produkt, ale na cestu, kterou se k němu uživatel dostává. Důvěru nejprve vytvořila reklama ve vyhledávání, posílila ji hostingová služba Google a známá značka OpenAI. Technika ClickFix pak tuto důvěru proměnila ve spuštění malwaru autorizované samotným uživatelem. 234