Falsi annunci di Codex ingannano gli sviluppatori Mac e installano malware

Una ricerca apparentemente innocua per installare Codex può trasformarsi in un'infezione. Secondo i ricercatori di Cato CTRL, il gruppo di ricerca sulle minacce di Cato Networks, una campagna di falsi annunci Google ha condotto gli utenti che cercavano query come “codex macos download” verso una convincente imitazione del portale ufficiale di OpenAI Codex, ospitata tramite Google Sites. La pagina non offriva un normale installer: convinceva invece il visitatore a eseguire manualmente il passaggio decisivo nel Terminale. 2910

La trappola partiva da un risultato sponsorizzato

La campagna puntava a utenti già intenzionati a installare Codex su macOS. L'annuncio dannoso compariva accanto, o potenzialmente sopra, ai risultati legittimi e portava a una pagina Google Sites costruita per sembrare un portale ufficiale di download di OpenAI Codex. Il sito mostrava opzioni per macOS e Linux, ma i ricercatori hanno osservato la distribuzione attiva del payload soltanto verso utenti macOS. 510

L'utilizzo di un dominio legittimo ospitato da Google rendeva l'esca meno sospetta rispetto a un sito malware appena registrato. Secondo le ricostruzioni disponibili, gli operatori avrebbero inoltre utilizzato account Google Ads sottratti, facendo apparire gli annunci associati a identità pubblicitarie già consolidate. 12

Con ClickFix l'esecuzione viene affidata alla vittima

Invece di proporre un file DMG sospetto da scaricare e aprire, il falso portale chiedeva all'utente di avviare il Terminale e incollare un comando. È lo schema di ingegneria sociale noto come ClickFix: l'attaccante presenta una presunta procedura di installazione o risoluzione di un problema, mentre è la vittima a compiere l'azione che avvia l'infezione. 21213

Il comando iniziava con una stringa dall'aspetto plausibile, collegata all'installazione di Codex tramite npm. In realtà, decodificava un URL cifrato in Base64, recuperava uno script remoto e ne passava il contenuto alla shell zsh di macOS. 3413

La tecnica fa leva sulla familiarità degli sviluppatori con la riga di comando. Elimina inoltre un segnale d'allarme evidente: non c'è un'applicazione inattesa da esaminare prima di scegliere se aprirla. La decisione di fidarsi viene presentata come il semplice copia-incolla di un comando di configurazione proveniente da una pagina apparentemente ufficiale. 212

La catena terminava con un'infezione AMOS sospetta

Le ricostruzioni disponibili descrivono una catena composta da più fasi. Dopo l'esecuzione del comando incollato, gli script successivi scaricavano un eseguibile Mach-O finale, lo salvavano in /tmp/helper, ne rimuovevano gli attributi estesi con xattr -c, lo rendevano eseguibile e lo avviavano. 3411

La rimozione degli attributi estesi può eliminare metadati legati alla quarantena di macOS e ridurre il numero di avvisi di sicurezza visualizzati quando si apre un file scaricato. 411 Le analisi tecniche della campagna hanno inoltre riferito che il binario finale supportava sia l'architettura Intel sia Apple Silicon. 1521

Cato ha rilevato forti sovrapposizioni con l'attività documentata di Atomic macOS Stealer, noto anche come AMOS. Altre ricostruzioni hanno identificato il payload come un infostealer AMOS sospetto, non come un componente legittimo di Codex. 29 AMOS è associato al furto di dati del browser, credenziali di accesso e informazioni contenute nei portafogli di criptovalute. 1

L'infrastruttura affidabile nascondeva la frode

L'efficacia della campagna non dipendeva da un singolo exploit sofisticato, ma dalla combinazione di segnali familiari:

• Intenzione di ricerca: l'annuncio raggiungeva persone che stavano già cercando di installare Codex.
• Posizionamento a pagamento: il risultato sponsorizzato appariva in una posizione molto visibile nella Ricerca Google. 912
• Hosting Google: la destinazione utilizzava un dominio legittimo sites.google.com. 29
• Imitazione del marchio: la pagina riproduceva il branding familiare di OpenAI Codex. 1012
• Linguaggio da sviluppatori: il comando ricordava una normale procedura npm. 35
• Esecuzione guidata dall'utente: ClickFix spingeva la vittima a eseguire direttamente il comando, invece di aprire un installer ricevuto in modo inatteso. 213

Il falso portale utilizzava anche un iframe per visualizzare contenuti controllati dagli aggressori e caricati da un dominio dannoso separato. In questo modo la pagina visibile poteva conservare la credibilità di Google Sites, lasciando agli operatori un maggiore controllo sull'esperienza di installazione incorporata. 9

Alcune ricostruzioni secondarie citano ulteriori tecniche di elusione, tra cui risposte innocue selettive in base al dispositivo o all'URL e la sostituzione del payload. Le informazioni fornite non consentono però di stabilire in modo indipendente ogni dettaglio dell'implementazione: questi elementi vanno quindi considerati con cautela, non come caratteristiche confermate dell'intera campagna.

Cosa devono sapere gli sviluppatori Mac

L'avvertimento più importante è semplice: un comando copiato da una pagina di download è comunque codice da eseguire. Un risultato di ricerca dall'aspetto affidabile, un marchio noto o un URL ospitato da Google non dimostrano che le istruzioni siano legittime.

Per gli strumenti destinati agli sviluppatori, i comandi di installazione meritano lo stesso livello di attenzione dei binari scaricati. Verificate il publisher e la procedura attraverso i canali ufficiali conosciuti del prodotto, evitate di incollare nel Terminale comandi opachi e considerate un serio campanello d'allarme la presenza di URL codificati o script remoti.

La campagna mostra come il malware moderno punti sempre più spesso al percorso che conduce a un prodotto, anziché al prodotto stesso. La pubblicità nella ricerca ha creato la fiducia iniziale, l'hosting Google l'ha rafforzata, il branding OpenAI ha reso familiare la pagina e ClickFix ha trasformato quella fiducia in un avvio del malware autorizzato dall'utente. 234