Gefälschter Codex-Download bringt Mac-Entwickler zum Ausführen von Malware

Eine Kampagne mit gefälschten OpenAI-Codex-Downloadseiten hat die Suche nach einem Entwickler-Tool in eine Malware-Falle verwandelt. Nach Angaben der Sicherheitsforscher von Cato CTRL führten gesponserte Google-Ergebnisse für Suchanfragen wie „codex macos download“ auf eine überzeugend nachgeahmte Codex-Seite bei Google Sites. Einen normalen App-Installer gab es dort jedoch nicht: Stattdessen sollten Besucher einen Befehl im Terminal ausführen. 2910

Die Falle begann mit einer bezahlten Suchanzeige

Die Kampagne richtete sich an Nutzer, die bereits nach einer Möglichkeit suchten, Codex auf macOS zu installieren. Die schädliche Anzeige erschien neben oder möglicherweise über den regulären Suchergebnissen und verwies auf eine Google-Sites-Seite, die wie ein offizielles OpenAI-Codex-Downloadportal gestaltet war. Das Portal bot Optionen für macOS und Linux an. Eine aktive Auslieferung der Schadsoftware beobachteten die Forscher allerdings nur für macOS. 510

Die Nutzung einer echten Google-Domain machte den Köder weniger auffällig als eine neu registrierte Malware-Adresse. Berichten zufolge verwendeten die Betreiber außerdem gestohlene Google-Ads-Konten. Dadurch konnten die Anzeigen den Eindruck etablierter Werbekunden erwecken. 12

ClickFix verlagert den entscheidenden Schritt auf das Opfer

Statt eine verdächtige DMG-Datei zum Download anzubieten, forderte das gefälschte Portal die Besucher auf, das Terminal zu öffnen und einen Befehl einzufügen. Dahinter steckt die Social-Engineering-Methode ClickFix: Die Angreifer präsentieren eine angebliche Installations- oder Fehlerbehebung, während das Opfer selbst den entscheidenden Ausführungsschritt übernimmt. 21213

Der Befehl begann mit einer plausibel wirkenden npm-Installationszeile für Codex. Tatsächlich entschlüsselte er eine in Base64 codierte URL, rief ein entferntes Skript ab und übergab dessen Inhalt an die macOS-Shell zsh. 3413

Gerade für Entwickler wirkt dieses Vorgehen glaubwürdig, weil Befehle im Terminal und npm-Installationen zum Arbeitsalltag gehören. Zugleich fehlt ein offensichtliches Warnsignal: Es wird keine unerwartete App-Datei heruntergeladen, die vor dem Öffnen geprüft werden könnte. Die Vertrauensentscheidung wird stattdessen als simples Kopieren eines Einrichtungskommandos von einer scheinbar offiziellen Produktseite dargestellt. 212

Mehrstufige Kette führte zu mutmaßlichem AMOS-Infostealer

Die dokumentierte Infektionskette lief über mehrere Stufen. Nach dem Einfügen des Befehls luden nachfolgende Skripte eine Mach-O-Datei herunter, speicherten sie unter /tmp/helper, entfernten mit xattr -c ihre erweiterten Attribute, machten sie ausführbar und starteten sie. 3411

Das Entfernen erweiterter Attribute kann Quarantäne-Metadaten von macOS beseitigen und dadurch die Zahl der Sicherheitswarnungen beim Öffnen einer heruntergeladenen Datei reduzieren. 411 Technische Berichte zufolge unterstützte die finale Binärdatei sowohl Intel- als auch Apple-Silicon-Prozessoren. 1521

Cato stellte deutliche Überschneidungen mit öffentlich dokumentierten Aktivitäten des Atomic macOS Stealer fest, der meist als AMOS bezeichnet wird. Andere Berichte ordneten die Nutzlast als mutmaßlichen AMOS-Infostealer ein – nicht als legitimen Bestandteil von Codex. 29 AMOS wird mit dem Diebstahl von Browserdaten, Zugangsdaten und Informationen aus Kryptowährungs-Wallets in Verbindung gebracht. 1

Vertrauenswürdige Infrastruktur verschleierte die Täuschung

Die Kampagne war nicht auf eine einzelne besonders ausgefeilte Sicherheitslücke angewiesen. Ihre Wirksamkeit entstand aus dem Zusammenspiel mehrerer vertrauter Signale:

• Passende Suchabsicht: Die Anzeige erreichte Menschen, die gerade nach einer Codex-Installation suchten.
• Bezahlte Platzierung: Ein gesponsertes Ergebnis stand an einer besonders aufmerksamkeitsstarken Position in der Google-Suche. 912
• Google-Hosting: Die Zielseite nutzte die legitime Domain sites.google.com. 29
• Markenimitation: Das Portal übernahm bekannte OpenAI- und Codex-Elemente. 1012
• Sprache aus dem Entwickleralltag: Der Befehl ähnelte einer normalen npm-Einrichtung. 35
• Ausführung durch den Nutzer: ClickFix brachte das Opfer dazu, den Befehl selbst zu starten, statt einen unerwarteten Installer zu öffnen. 213

Die gefälschte Seite verwendete außerdem ein Iframe, um von einer separaten schädlichen Domain kontrollierte Inhalte einzubetten. So konnte die sichtbare Seite den Anschein einer Google-Sites-Adresse wahren, während die Angreifer mehr Kontrolle über den eigentlichen Installationsablauf behielten. 9

Weitere Ausweichmechanismen – etwa exakt gesteuerte harmlose Antworten abhängig von Gerät oder URL sowie ein Austausch der ausgelieferten Nutzlast – werden in einzelnen Folgeberichten erwähnt. Die vorliegenden Belege bestätigen jedoch nicht jedes dieser technischen Details unabhängig. Sie sollten daher nicht pauschal als gesicherte Merkmale der gesamten Kampagne gelten.

Was Mac-Entwickler daraus lernen sollten

Die wichtigste Regel ist simpel: Ein aus einer Downloadseite kopierter Befehl ist ebenfalls Codeausführung. Ein vertrauenswürdig wirkendes Suchergebnis, bekannte Markenoptik oder eine Google-gehostete URL beweisen nicht, dass die Anleitung legitim ist.

Installationsbefehle für Entwickler-Tools sollten deshalb genauso kritisch geprüft werden wie heruntergeladene Binärdateien. Publisher und Installationsweg sollten über die bekannten offiziellen Kanäle des Produkts verifiziert werden. Undurchsichtige Befehle gehören nicht ungeprüft ins Terminal – insbesondere dann nicht, wenn sie codierte URLs enthalten oder entfernte Skripte laden.

Der Fall zeigt, dass moderne Malware nicht unbedingt das Produkt selbst angreifen muss. Oft reicht es, den Weg dorthin zu manipulieren: Suchwerbung erzeugte den ersten Vertrauensvorschuss, Google-Hosting verstärkte ihn, das OpenAI-Branding ließ die Seite vertraut wirken und ClickFix verwandelte dieses Vertrauen in einen vom Nutzer autorisierten Malware-Start. 234