Falske Codex-annoncer fik Mac-udviklere til selv at starte malware

En falsk kampagne for OpenAI Codex forvandlede en almindelig udviklersøgning til en malwareinfektion. Ifølge forskere fra Cato Networks’ trusselsanalyse-team Cato CTRL førte sponsorerede Google-resultater på søgninger som “codex macos download” brugerne til en overbevisende kopiside, der var hostet via Google Sites. Siden tilbød ikke et normalt installationsprogram. I stedet blev besøgende overtalt til selv at udføre det afgørende infektionstrin i Terminal. 2910

Angrebet begyndte med en sponsoreret Google-annonce

Kampagnen gik efter brugere, der allerede ledte efter en måde at installere Codex på macOS. Den skadelige annonce blev vist sammen med – og muligvis over – legitime søgeresultater og sendte brugerne videre til en Google Sites-side, der var udformet som en officiel OpenAI Codex-downloadside. Den falske portal viste valgmuligheder til både macOS og Linux, men forskerne observerede kun aktiv levering af en nyttelast til macOS. 510

At bruge et legitimt Google-hostet domæne gjorde siden mindre mistænkelig end et nyregistreret malwaredomæne. Ifølge rapporteringen anvendte operatørerne også stjålne Google Ads-konti, hvilket kan have fået annoncerne til at ligne kampagner fra etablerede annoncører. 12

ClickFix flyttede ansvaret for kørsel over på offeret

I stedet for at bede brugeren downloade og åbne en mistænkelig DMG-fil instruerede den falske portal dem i at åbne Terminal og indsætte en kommando. Det er et eksempel på den social engineering-teknik, der kaldes ClickFix: Angriberen præsenterer et påstået installations- eller fejlretningstrin, mens offeret selv udfører den kritiske handling, der starter infektionen. 21213

Kommandoen begyndte med en troværdig npm-installationsstreng, der så ud til at høre sammen med Codex. Bag denne overflade dekodede den en Base64-kodet URL, hentede et fjernscript og sendte resultatet videre til macOS-skallen zsh. 3413

Metoden udnytter udvikleres fortrolighed med kommandolinjeinstallationer. Samtidig fjernes et tydeligt advarselssignal: Der ligger ingen uventet programfil, som brugeren først skal undersøge og vælge at åbne. Tillidsbeslutningen bliver i stedet pakket ind som kopiering af en opsætningskommando fra en tilsyneladende officiel produktside. 212

Infektionskæden endte med en mistænkt AMOS-stealer

Den tilgængelige rapportering beskriver en flertrins-kæde. Efter at kommandoen var blevet indsat og kørt, hentede efterfølgende scripts en endelig Mach-O-eksekverbar fil, gemte den som /tmp/helper, fjernede dens udvidede attributter med xattr -c, gjorde den eksekverbar og startede den. 3411

Fjernelse af udvidede attributter kan slette macOS-relaterede karantænemetadata og muligvis reducere antallet af sikkerhedsadvarsler, der vises, når en downloadet fil åbnes. 411 Teknisk rapportering har desuden beskrevet den endelige binærfil som understøttende både Intel- og Apple Silicon-arkitekturer. 1521

Cato beskrev et stærkt sammenfald med offentligt dokumenteret Atomic macOS Stealer, ofte kaldet AMOS. Andre medier identificerede nyttelasten som en mistænkt AMOS-infostealer og ikke som en legitim Codex-komponent. 29 AMOS forbindes med tyveri af browserdata, loginoplysninger og information fra kryptovaluta-wallets. 1

Flere lag af tillid skjulte svindlen

Kampagnens styrke lå ikke i ét avanceret exploit, men i kombinationen af flere velkendte signaler:

• Søgehensigt: Annoncen ramte personer, der aktivt ledte efter en Codex-installation.
• Betalt placering: Et sponsoreret resultat blev vist på en position med stor opmærksomhed på Google. 912
• Google-hosting: Destinationen brugte det legitime domæne sites.google.com. 29
• Brandkopi: Siden efterlignede den velkendte OpenAI Codex-branding. 1012
• Udviklersprog: Kommandoen lignede en almindelig npm-opsætning. 35
• Brugerudført kørsel: ClickFix fik offeret til selv at køre kommandoen i stedet for at åbne et uopfordret installationsprogram. 213

Den falske portal brugte også en iframe til at vise angriberstyret indhold fra et separat skadeligt domæne. På den måde kunne den synlige side bevare troværdigheden fra Google Sites, mens operatørerne fik større kontrol over den indlejrede installationsoplevelse. 9

Nogle sekundære rapporter omtaler yderligere undvigelsesteknikker, herunder præcise svar baseret på enhed og URL samt udskiftning af nyttelast. Det tilgængelige materiale dokumenterer dog ikke uafhængigt alle disse implementeringsdetaljer. De bør derfor behandles med forsigtighed og ikke som bekræftede egenskaber ved hele kampagnen.

Hvad Mac-udviklere bør tage med sig

Den vigtigste advarsel er enkel: En kommando, der kopieres fra en downloadside, er stadig kodekørsel. Et søgeresultat, der ser troværdigt ud, velkendt branding eller en Google-hostet URL beviser ikke, at instruktionerne er legitime.

Installationskommandoer til udviklerværktøjer bør granskes lige så kritisk som downloadede binærfiler. Kontrollér udgiver og installationsmetode via produktets kendte officielle kanaler, undgå at indsætte uklare kommandoer i Terminal, og betragt kommandoer med kodede URL’er eller fjernscripts som et alvorligt advarselstegn.

Kampagnen viser, hvorfor moderne malware i stigende grad angriber vejen hen til et produkt – ikke nødvendigvis selve produktet. Søgeannoncen skabte den første tillid, Google-hostingen forstærkede den, OpenAI-brandingen gjorde siden genkendelig, og ClickFix omsatte tilliden til en malwarekørsel, som brugeren selv godkendte. 234