Une fausse publicité Codex pousse des développeurs Mac à exécuter un malware

Une campagne de téléchargement frauduleux a transformé une recherche banale pour développeurs en chaîne d’infection sur macOS. D’après les chercheurs de Cato CTRL, l’équipe de recherche de Cato Networks, des résultats sponsorisés affichés pour des requêtes telles que « codex macos download » menaient vers une imitation convaincante d’OpenAI Codex hébergée sur Google Sites. Au lieu de proposer un installateur classique, la page incitait l’utilisateur à lancer manuellement l’étape d’infection dans le Terminal. 2910

Une publicité Google comme premier point de contact

La campagne visait des personnes qui cherchaient déjà à installer Codex sur leur Mac. L’annonce malveillante apparaissait parmi les résultats de recherche, voire potentiellement au-dessus d’eux, et redirigeait les visiteurs vers une page Google Sites présentée comme un portail officiel de téléchargement d’OpenAI Codex. Le faux site proposait des versions pour macOS et Linux, mais les chercheurs n’ont observé une distribution active de la charge malveillante que sur macOS. 510

L’utilisation d’un domaine légitime hébergé par Google rendait le piège moins suspect qu’un site récemment créé par des cybercriminels. Selon plusieurs articles, les opérateurs auraient également utilisé des comptes Google Ads volés, ce qui pouvait donner aux annonces l’apparence de campagnes provenant d’annonceurs déjà établis. 12

ClickFix : l’utilisateur devient l’installateur

Le faux portail ne demandait pas de télécharger puis d’ouvrir un fichier DMG douteux. Il invitait plutôt la victime à ouvrir le Terminal et à y coller une commande. Cette méthode d’ingénierie sociale, appelée ClickFix, présente une prétendue étape d’installation ou de résolution de problème et amène la victime à effectuer elle-même l’action critique d’exécution. 21213

La commande commençait par une chaîne d’installation npm plausible, associée à Codex. En réalité, elle décodait une URL dissimulée en Base64, récupérait un script distant et transmettait son contenu à l’interpréteur zsh de macOS. 3413

Cette approche exploite les habitudes des développeurs, qui utilisent régulièrement la ligne de commande pour installer des outils. Elle supprime aussi un signal d’alerte évident : aucun fichier d’application inattendu n’est présenté à l’utilisateur avant son ouverture. La décision de faire confiance est plutôt mise en scène comme un simple copier-coller depuis une page qui semble officielle. 212

Une chaîne d’infection qui ressemble à AMOS

Les informations disponibles décrivent une chaîne en plusieurs étapes. Après l’exécution de la commande collée, des scripts ultérieurs téléchargeaient un exécutable Mach-O final, le plaçaient dans /tmp/helper, supprimaient ses attributs étendus avec xattr -c, le rendaient exécutable puis le lançaient. 3411

La suppression des attributs étendus peut effacer des métadonnées liées à la quarantaine de macOS et réduire le nombre d’avertissements de sécurité affichés lors de l’ouverture d’un fichier téléchargé. 411 Des articles techniques rapportent également que le binaire final prenait en charge les architectures Intel et Apple Silicon. 1521

Cato a relevé de fortes similitudes avec l’activité publiquement documentée d’Atomic macOS Stealer, plus connu sous le nom d’AMOS. D’autres médias ont décrit la charge utile comme un voleur d’informations probablement lié à AMOS, et non comme un composant légitime de Codex. 29 AMOS est associé au vol de données de navigateur, d’identifiants de connexion et d’informations liées aux portefeuilles de cryptomonnaies. 1

Des éléments de confiance soigneusement assemblés

L’efficacité du piège reposait moins sur une faille technique complexe que sur l’addition de signaux familiers :

• L’intention de recherche : l’annonce ciblait des personnes cherchant activement à installer Codex.
• Le placement payant : le résultat sponsorisé apparaissait dans une zone très visible de Google. 912
• L’hébergement Google : la destination utilisait un domaine légitime en sites.google.com. 29
• L’imitation de marque : la page reprenait l’identité visuelle familière d’OpenAI Codex. 1012
• Le vocabulaire des développeurs : la commande ressemblait à une installation npm ordinaire. 35
• L’exécution par l’utilisateur : ClickFix amenait la victime à lancer la commande plutôt qu’à ouvrir un installateur reçu sans le demander. 213

Le portail frauduleux utilisait également une iframe pour afficher du contenu contrôlé par les attaquants depuis un autre domaine malveillant. La page visible pouvait ainsi conserver la crédibilité de Google Sites, tandis que les opérateurs gardaient davantage de contrôle sur l’expérience d’installation intégrée. 9

D’autres techniques d’évasion sont évoquées dans des articles secondaires, notamment des réponses inoffensives adaptées à l’appareil ou à l’URL consultée, ainsi que le remplacement de la charge utile. Les éléments fournis ne permettent toutefois pas d’établir indépendamment chaque détail d’implémentation : ces caractéristiques doivent donc être considérées avec prudence.

Les précautions à retenir pour les utilisateurs de Mac

La règle essentielle est simple : une commande copiée depuis une page de téléchargement constitue toujours une exécution de code. Un résultat de recherche qui semble fiable, une marque familière ou une URL hébergée par Google ne prouvent pas que les instructions sont légitimes.

Pour les outils destinés aux développeurs, les commandes d’installation méritent la même vigilance qu’un binaire téléchargé. Il faut vérifier l’éditeur et la méthode d’installation depuis les canaux officiels connus, éviter de coller des commandes opaques dans le Terminal et considérer comme un signal d’alerte sérieux toute commande contenant des URL encodées ou des scripts distants.

Cette campagne illustre une évolution importante : les logiciels malveillants ciblent de plus en plus le chemin d’accès à un produit plutôt que le produit lui-même. La publicité Google créait le premier climat de confiance, l’hébergement Google le renforçait, la marque OpenAI rendait la page familière et ClickFix transformait cette confiance en lancement autorisé par l’utilisateur. 234