उत्तरप्रकाशित22 स्रोत
Google Sites पर बना फर्जी Codex पेज कैसे Mac यूजर्स तक AMOS मालवेयर पहुंचा रहा था
हमलावरों ने “codex macos download” जैसे Google सर्च पर प्रायोजित विज्ञापन दिखाकर Mac यूजर्स को Google Sites पर बने फर्जी Codex पोर्टल तक पहुंचाया। पेज ने सामान्य DMG इंस्टॉलर देने के बजाय यूजर्स से Terminal खोलकर एक कमांड पेस्ट करने को कहा। कमांड npm आधारित Codex इंस्टॉलेशन जैसी दिखती थी, लेकिन छिपे हुए Base64 URL क...
प्रकाशितकर्ताGPT-5.6 Luna से संपादितGPT Image 1.5 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- हमलावरों ने “codex macos download” जैसे Google सर्च पर प्रायोजित विज्ञापन दिखाकर Mac यूजर्स को Google Sites पर बने फर्जी Codex पोर्टल तक पहुंचाया।
- पेज ने सामान्य DMG इंस्टॉलर देने के बजाय यूजर्स से Terminal खोलकर एक कमांड पेस्ट करने को कहा। कमांड npm आधारित Codex इंस्टॉलेशन जैसी दिखती थी, लेकिन छिपे हुए Base64 URL को डिकोड कर रिमोट स्क्रिप्ट को zsh में चला देती थी।
- Cato Networks के अनुसार, इस अभियान में Google की भरोसेमंद सेवाओं, पेड सर्च प्लेसमेंट और OpenAI जैसी परिचित ब्रांडिंग को जोड़कर मालवेयर चलाने की प्रक्रिया को सामान्य डेवलपर सेटअप जैसा बनाया गया।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the macOS malware campaign documented by Cato Networks on August 24, 2026 use Google-sponsored ads targeting developers searching fo. Article summary: Cato described a trust-chain attack rather than a conventional malicious download: a sponsored Google result for searches such as “Codex macOS download” led developers to a convincing Google Sites page impersonating an O. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Mac पर Codex इंस्टॉल करने की तलाश कर रहे डेवलपर्स को निशाना बनाने वाले एक अभियान ने दिखाया कि भरोसेमंद दिखने वाला सर्च रिजल्ट भी खतरनाक हो सकता है। Cato Networks की Cato CTRL रिसर्च टीम के अनुसार, “codex macos download” जैसे सर्च पर दिखे प्रायोजित Google विज्ञापन यूजर्स को Google Sites पर बने एक ऐसे पेज तक ले जा रहे थे, जो आधिकारिक OpenAI Codex डाउनलोड पोर्टल जैसा दिखता था। 2
9
10
लेकिन वहां कोई सामान्य ऐप इंस्टॉलर नहीं था। इसके बजाय, पेज यूजर से macOS Terminal खोलकर एक कमांड कॉपी-पेस्ट करने को कहता था। यही वह कदम था, जिसने कथित इंस्टॉलेशन को मालवेयर संक्रमण में बदल दिया। 2
12
13
शुरुआत Google के प्रायोजित सर्च विज्ञापन से हुई
यह अभियान उन लोगों को टारगेट कर रहा था जो पहले से Mac पर Codex डाउनलोड करने का तरीका खोज रहे थे। फर्जी विज्ञापन वैध सर्च रिजल्ट के साथ या उसके ऊपर दिखाई दे सकता था और क्लिक करने पर यूजर को sites.google.com डोमेन वाले एक नकली डाउनलोड पेज पर ले जाता था। पेज पर macOS और Linux, दोनों के विकल्प दिखाए गए थे, हालांकि शोधकर्ताओं ने सक्रिय पेलोड डिलीवरी केवल macOS के लिए देखी। 5
10
Google की वैध होस्टिंग का इस्तेमाल इस जाल को अधिक विश्वसनीय बनाने के लिए किया गया। नया या संदिग्ध मालवेयर डोमेन देखने के बजाय यूजर को Google की परिचित सेवा का पता दिखाई देता था। रिपोर्टों के अनुसार, ऑपरेटरों ने कथित तौर पर चुराए गए Google Ads अकाउंट्स का भी इस्तेमाल किया, जिससे विज्ञापन किसी पुराने और स्थापित विज्ञापनदाता से जुड़े हुए लग सकते थे। 1
2
ClickFix ने इंस्टॉलर की जगह यूजर से मालवेयर चलवाया
फर्जी पोर्टल ने यूजर से संदिग्ध DMG फाइल डाउनलोड कर खोलने को नहीं कहा। इसके बजाय, उसने Terminal खोलने और एक कमांड पेस्ट करने के निर्देश दिए। इस सोशल-इंजीनियरिंग तरीके को ClickFix कहा जाता है। इसमें हमलावर किसी इंस्टॉलेशन या समस्या-समाधान प्रक्रिया का बहाना बनाता है, लेकिन असल में संक्रमण का निर्णायक कदम यूजर से खुद करवाता है। 2
12
13
कमांड की शुरुआत Codex से जुड़ी एक विश्वसनीय दिखने वाली npm इंस्टॉलेशन स्ट्रिंग से होती थी। आगे चलकर वही कमांड Base64 में छिपे URL को डिकोड करती, वहां से रिमोट स्क्रिप्ट डाउनलोड करती और उसे macOS के zsh शेल में भेज देती थी। 3
4
13
यह तरीका डेवलपर्स की कमांड-लाइन इंस्टॉलेशन की आदत का फायदा उठाता है। यूजर के सामने कोई अनजान ऐप फाइल नहीं आती, जिसे खोलने से पहले वह जांच कर सके। इसके बजाय, पूरा काम किसी आधिकारिक उत्पाद पेज से कॉपी की गई सामान्य सेटअप कमांड जैसा दिखाई देता है। 2
12
संक्रमण की श्रृंखला संदिग्ध AMOS इन्फोस्टीलर तक पहुंची
उपलब्ध तकनीकी रिपोर्टों के अनुसार, कमांड चलने के बाद कई चरणों वाली डिलीवरी चेन सक्रिय हुई। बाद की स्क्रिप्ट ने अंतिम Mach-O एक्जीक्यूटेबल को /tmp/helper में डाउनलोड किया, xattr -c के जरिए उसकी extended attributes हटाईं, उसे चलने योग्य बनाया और फिर लॉन्च कर दिया। 3
4
11
Extended attributes हटाने से macOS की क्वारंटीन से जुड़ी मेटाडेटा हट सकती है। इससे डाउनलोड की गई फाइल खोलते समय दिखने वाली कुछ सुरक्षा चेतावनियां कम हो सकती हैं। 4
11 तकनीकी रिपोर्टों में अंतिम बाइनरी को Intel और Apple Silicon, दोनों आर्किटेक्चर को सपोर्ट करने वाला बताया गया है।
15
21
Cato ने इस गतिविधि में सार्वजनिक रूप से दर्ज Atomic macOS Stealer, जिसे आमतौर पर AMOS कहा जाता है, के साथ मजबूत समानताएं बताईं। अन्य रिपोर्टों ने पेलोड को वैध Codex घटक नहीं, बल्कि संदिग्ध AMOS इन्फोस्टीलर के रूप में पहचाना। 2
9 AMOS ब्राउज़र डेटा, लॉगिन क्रेडेंशियल्स और क्रिप्टोकरेंसी वॉलेट से जुड़ी जानकारी चुराने की क्षमता के लिए जाना जाता है।
1
भरोसेमंद दिखने वाले संकेतों का खतरनाक मेल
इस अभियान की ताकत किसी एक बेहद जटिल तकनीकी खामी पर निर्भर नहीं थी। हमलावरों ने कई परिचित संकेतों को एक साथ जोड़कर भरोसे का माहौल बनाया:
- सर्च इंटेंट: विज्ञापन उन लोगों तक पहुंचा जो सक्रिय रूप से Codex इंस्टॉल करना चाहते थे।
- पेड प्लेसमेंट: Google Search में प्रायोजित रिजल्ट ऊंचे और अधिक ध्यान खींचने वाले स्थान पर दिखाई दिया।
9
12
- Google होस्टिंग: लैंडिंग पेज ने वैध
sites.google.comडोमेन का इस्तेमाल किया।2
- ब्रांड की नकल: पेज पर OpenAI Codex जैसी परिचित ब्रांडिंग दिखाई गई।
10
- डेवलपर भाषा: कमांड सामान्य npm सेटअप प्रक्रिया जैसी लगती थी।
3
5
- यूजर-आधारित 실행: ClickFix के जरिए यूजर से खुद Terminal कमांड चलवाई गई, न कि कोई अनचाहा इंस्टॉलर खुलवाया गया।
13
फर्जी पोर्टल ने attacker-controlled कंटेंट को iframe के जरिए एक अलग मालिशस डोमेन से लोड किया। इससे ऊपर दिखाई देने वाले पेज को Google Sites की विश्वसनीयता मिलती रही, जबकि हमलावर embedded इंस्टॉलेशन अनुभव को अलग से नियंत्रित कर सकते थे। 9
कुछ सेकेंडरी रिपोर्टों में डिवाइस और URL के आधार पर अलग-अलग benign response देने या पेलोड बदलने जैसी अतिरिक्त बचाव तकनीकों का भी उल्लेख है। हालांकि, उपलब्ध साक्ष्य इन सभी कार्यान्वयन विवरणों को स्वतंत्र रूप से साबित नहीं करते। इसलिए इन्हें पूरे अभियान की पुष्ट विशेषताओं के रूप में नहीं, बल्कि सावधानी के साथ देखना चाहिए।
Mac डेवलपर्स के लिए सबसे जरूरी सबक
डाउनलोड पेज से कॉपी की गई कमांड भी कोड ही होती है और उसे चलाना भी कोड एक्जीक्यूशन है। Google का प्रायोजित रिजल्ट, OpenAI जैसी परिचित ब्रांडिंग या Google-hosted URL अपने-आप में निर्देशों की वैधता साबित नहीं करता।
डेवलपर टूल इंस्टॉल करते समय कमांड को उसी सावधानी से जांचें, जिस सावधानी से आप कोई बाइनरी फाइल जांचते हैं। प्रकाशक और इंस्टॉलेशन तरीका उत्पाद के ज्ञात आधिकारिक चैनलों से सत्यापित करें। ऐसी अस्पष्ट कमांड को Terminal में पेस्ट करने से बचें, जिनमें encoded URL, रिमोट स्क्रिप्ट या सीधे zsh को भेजा जाने वाला कंटेंट हो।
यह अभियान बताता है कि आधुनिक मालवेयर डिलीवरी में निशाना केवल उत्पाद नहीं, बल्कि उस तक पहुंचने का रास्ता भी होता है। सर्च विज्ञापन ने शुरुआती भरोसा बनाया, Google होस्टिंग ने उसे मजबूत किया, OpenAI ब्रांडिंग ने पेज को परिचित बनाया और ClickFix ने उसी भरोसे को यूजर-अधिकृत मालवेयर लॉन्च में बदल दिया। 2
3
4
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"Google Sites पर बना फर्जी Codex पेज कैसे Mac यूजर्स तक AMOS मालवेयर पहुंचा रहा था" का संक्षिप्त उत्तर क्या है?
हमलावरों ने “codex macos download” जैसे Google सर्च पर प्रायोजित विज्ञापन दिखाकर Mac यूजर्स को Google Sites पर बने फर्जी Codex पोर्टल तक पहुंचाया।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
हमलावरों ने “codex macos download” जैसे Google सर्च पर प्रायोजित विज्ञापन दिखाकर Mac यूजर्स को Google Sites पर बने फर्जी Codex पोर्टल तक पहुंचाया। पेज ने सामान्य DMG इंस्टॉलर देने के बजाय यूजर्स से Terminal खोलकर एक कमांड पेस्ट करने को कहा। कमांड npm आधारित Codex इंस्टॉलेशन जैसी दिखती थी, लेकिन छिपे हुए Base64 URL को डिकोड कर रिमोट स्क्रिप्ट को zsh में चला देती थी।
मुझे अभ्यास में आगे क्या करना चाहिए?
Cato Networks के अनुसार, इस अभियान में Google की भरोसेमंद सेवाओं, पेड सर्च प्लेसमेंट और OpenAI जैसी परिचित ब्रांडिंग को जोड़कर मालवेयर चलाने की प्रक्रिया को सामान्य डेवलपर सेटअप जैसा बनाया गया।
सूत्र