Google Sites पर बना फर्जी Codex पेज कैसे Mac यूजर्स तक AMOS मालवेयर पहुंचा रहा था

Mac पर Codex इंस्टॉल करने की तलाश कर रहे डेवलपर्स को निशाना बनाने वाले एक अभियान ने दिखाया कि भरोसेमंद दिखने वाला सर्च रिजल्ट भी खतरनाक हो सकता है। Cato Networks की Cato CTRL रिसर्च टीम के अनुसार, “codex macos download” जैसे सर्च पर दिखे प्रायोजित Google विज्ञापन यूजर्स को Google Sites पर बने एक ऐसे पेज तक ले जा रहे थे, जो आधिकारिक OpenAI Codex डाउनलोड पोर्टल जैसा दिखता था। 2910

लेकिन वहां कोई सामान्य ऐप इंस्टॉलर नहीं था। इसके बजाय, पेज यूजर से macOS Terminal खोलकर एक कमांड कॉपी-पेस्ट करने को कहता था। यही वह कदम था, जिसने कथित इंस्टॉलेशन को मालवेयर संक्रमण में बदल दिया। 21213

शुरुआत Google के प्रायोजित सर्च विज्ञापन से हुई

यह अभियान उन लोगों को टारगेट कर रहा था जो पहले से Mac पर Codex डाउनलोड करने का तरीका खोज रहे थे। फर्जी विज्ञापन वैध सर्च रिजल्ट के साथ या उसके ऊपर दिखाई दे सकता था और क्लिक करने पर यूजर को sites.google.com डोमेन वाले एक नकली डाउनलोड पेज पर ले जाता था। पेज पर macOS और Linux, दोनों के विकल्प दिखाए गए थे, हालांकि शोधकर्ताओं ने सक्रिय पेलोड डिलीवरी केवल macOS के लिए देखी। 510

Google की वैध होस्टिंग का इस्तेमाल इस जाल को अधिक विश्वसनीय बनाने के लिए किया गया। नया या संदिग्ध मालवेयर डोमेन देखने के बजाय यूजर को Google की परिचित सेवा का पता दिखाई देता था। रिपोर्टों के अनुसार, ऑपरेटरों ने कथित तौर पर चुराए गए Google Ads अकाउंट्स का भी इस्तेमाल किया, जिससे विज्ञापन किसी पुराने और स्थापित विज्ञापनदाता से जुड़े हुए लग सकते थे। 12

ClickFix ने इंस्टॉलर की जगह यूजर से मालवेयर चलवाया

फर्जी पोर्टल ने यूजर से संदिग्ध DMG फाइल डाउनलोड कर खोलने को नहीं कहा। इसके बजाय, उसने Terminal खोलने और एक कमांड पेस्ट करने के निर्देश दिए। इस सोशल-इंजीनियरिंग तरीके को ClickFix कहा जाता है। इसमें हमलावर किसी इंस्टॉलेशन या समस्या-समाधान प्रक्रिया का बहाना बनाता है, लेकिन असल में संक्रमण का निर्णायक कदम यूजर से खुद करवाता है। 21213

कमांड की शुरुआत Codex से जुड़ी एक विश्वसनीय दिखने वाली npm इंस्टॉलेशन स्ट्रिंग से होती थी। आगे चलकर वही कमांड Base64 में छिपे URL को डिकोड करती, वहां से रिमोट स्क्रिप्ट डाउनलोड करती और उसे macOS के zsh शेल में भेज देती थी। 3413

यह तरीका डेवलपर्स की कमांड-लाइन इंस्टॉलेशन की आदत का फायदा उठाता है। यूजर के सामने कोई अनजान ऐप फाइल नहीं आती, जिसे खोलने से पहले वह जांच कर सके। इसके बजाय, पूरा काम किसी आधिकारिक उत्पाद पेज से कॉपी की गई सामान्य सेटअप कमांड जैसा दिखाई देता है। 212

संक्रमण की श्रृंखला संदिग्ध AMOS इन्फोस्टीलर तक पहुंची

उपलब्ध तकनीकी रिपोर्टों के अनुसार, कमांड चलने के बाद कई चरणों वाली डिलीवरी चेन सक्रिय हुई। बाद की स्क्रिप्ट ने अंतिम Mach-O एक्जीक्यूटेबल को /tmp/helper में डाउनलोड किया, xattr -c के जरिए उसकी extended attributes हटाईं, उसे चलने योग्य बनाया और फिर लॉन्च कर दिया। 3411

Extended attributes हटाने से macOS की क्वारंटीन से जुड़ी मेटाडेटा हट सकती है। इससे डाउनलोड की गई फाइल खोलते समय दिखने वाली कुछ सुरक्षा चेतावनियां कम हो सकती हैं। 411 तकनीकी रिपोर्टों में अंतिम बाइनरी को Intel और Apple Silicon, दोनों आर्किटेक्चर को सपोर्ट करने वाला बताया गया है। 1521

Cato ने इस गतिविधि में सार्वजनिक रूप से दर्ज Atomic macOS Stealer, जिसे आमतौर पर AMOS कहा जाता है, के साथ मजबूत समानताएं बताईं। अन्य रिपोर्टों ने पेलोड को वैध Codex घटक नहीं, बल्कि संदिग्ध AMOS इन्फोस्टीलर के रूप में पहचाना। 29 AMOS ब्राउज़र डेटा, लॉगिन क्रेडेंशियल्स और क्रिप्टोकरेंसी वॉलेट से जुड़ी जानकारी चुराने की क्षमता के लिए जाना जाता है। 1

भरोसेमंद दिखने वाले संकेतों का खतरनाक मेल

इस अभियान की ताकत किसी एक बेहद जटिल तकनीकी खामी पर निर्भर नहीं थी। हमलावरों ने कई परिचित संकेतों को एक साथ जोड़कर भरोसे का माहौल बनाया:

• सर्च इंटेंट: विज्ञापन उन लोगों तक पहुंचा जो सक्रिय रूप से Codex इंस्टॉल करना चाहते थे।
• पेड प्लेसमेंट: Google Search में प्रायोजित रिजल्ट ऊंचे और अधिक ध्यान खींचने वाले स्थान पर दिखाई दिया। 912
• Google होस्टिंग: लैंडिंग पेज ने वैध sites.google.com डोमेन का इस्तेमाल किया। 29
• ब्रांड की नकल: पेज पर OpenAI Codex जैसी परिचित ब्रांडिंग दिखाई गई। 1012
• डेवलपर भाषा: कमांड सामान्य npm सेटअप प्रक्रिया जैसी लगती थी। 35
• यूजर-आधारित 실행: ClickFix के जरिए यूजर से खुद Terminal कमांड चलवाई गई, न कि कोई अनचाहा इंस्टॉलर खुलवाया गया। 213

फर्जी पोर्टल ने attacker-controlled कंटेंट को iframe के जरिए एक अलग मालिशस डोमेन से लोड किया। इससे ऊपर दिखाई देने वाले पेज को Google Sites की विश्वसनीयता मिलती रही, जबकि हमलावर embedded इंस्टॉलेशन अनुभव को अलग से नियंत्रित कर सकते थे। 9

कुछ सेकेंडरी रिपोर्टों में डिवाइस और URL के आधार पर अलग-अलग benign response देने या पेलोड बदलने जैसी अतिरिक्त बचाव तकनीकों का भी उल्लेख है। हालांकि, उपलब्ध साक्ष्य इन सभी कार्यान्वयन विवरणों को स्वतंत्र रूप से साबित नहीं करते। इसलिए इन्हें पूरे अभियान की पुष्ट विशेषताओं के रूप में नहीं, बल्कि सावधानी के साथ देखना चाहिए।

Mac डेवलपर्स के लिए सबसे जरूरी सबक

डाउनलोड पेज से कॉपी की गई कमांड भी कोड ही होती है और उसे चलाना भी कोड एक्जीक्यूशन है। Google का प्रायोजित रिजल्ट, OpenAI जैसी परिचित ब्रांडिंग या Google-hosted URL अपने-आप में निर्देशों की वैधता साबित नहीं करता।

डेवलपर टूल इंस्टॉल करते समय कमांड को उसी सावधानी से जांचें, जिस सावधानी से आप कोई बाइनरी फाइल जांचते हैं। प्रकाशक और इंस्टॉलेशन तरीका उत्पाद के ज्ञात आधिकारिक चैनलों से सत्यापित करें। ऐसी अस्पष्ट कमांड को Terminal में पेस्ट करने से बचें, जिनमें encoded URL, रिमोट स्क्रिप्ट या सीधे zsh को भेजा जाने वाला कंटेंट हो।

यह अभियान बताता है कि आधुनिक मालवेयर डिलीवरी में निशाना केवल उत्पाद नहीं, बल्कि उस तक पहुंचने का रास्ता भी होता है। सर्च विज्ञापन ने शुरुआती भरोसा बनाया, Google होस्टिंग ने उसे मजबूत किया, OpenAI ब्रांडिंग ने पेज को परिचित बनाया और ClickFix ने उसी भरोसे को यूजर-अधिकृत मालवेयर लॉन्च में बदल दिया। 234