Zo werden Mac-ontwikkelaars misleid met een valse Codex-download

Een campagne met valse OpenAI Codex-downloads veranderde een gewone zoekopdracht van ontwikkelaars in een malwareketen. Volgens onderzoekers van Cato CTRL, de onderzoekseenheid van Cato Networks, verwezen gesponsorde Google-resultaten voor zoekopdrachten als ‘codex macos download’ naar een overtuigende imitatie van Codex op Google Sites. De pagina bood geen normale installer aan, maar probeerde bezoekers ertoe te bewegen zelf een schadelijke opdracht in Terminal uit te voeren. 2910

De aanval begon met een gesponsord zoekresultaat

De campagne richtte zich op gebruikers die al op zoek waren naar een manier om Codex op macOS te installeren. De schadelijke advertentie verscheen naast of mogelijk boven legitieme zoekresultaten en stuurde bezoekers naar een Google Sites-pagina die was vormgegeven als een officiële downloadportal voor OpenAI Codex. De valse pagina bood opties voor macOS en Linux, maar onderzoekers zagen actieve payloadlevering alleen bij macOS-gebruikers. 510

Het gebruik van een legitiem door Google gehost domein maakte de lokpagina minder verdacht dan een nieuw geregistreerd malwaredomein. Volgens berichtgeving gebruikten de operators bovendien gestolen Google Ads-accounts. Daardoor konden de advertenties de indruk wekken afkomstig te zijn van gevestigde adverteerders. 12

ClickFix laat het slachtoffer de uitvoering doen

In plaats van gebruikers een verdacht DMG-bestand te laten downloaden en openen, vroeg de valse portal hen Terminal te openen en een opdracht te plakken. Dit is een vorm van social engineering die bekendstaat als ClickFix: de aanvaller presenteert een zogenoemde installatie- of herstelstap, terwijl het slachtoffer zelf de cruciale uitvoeringsactie verricht. 21213

De opdracht begon met een geloofwaardig ogende npm-installatieregel die met Codex in verband werd gebracht. Daarachter decodeerde de opdracht echter een met Base64 versleutelde URL, haalde ze een script op afstand op en gaf ze dat door aan de macOS-shell zsh. 3413

Dat ontwerp speelt in op de vertrouwdheid van ontwikkelaars met installatie via de opdrachtregel. Tegelijk verdwijnt een duidelijk alarmsignaal: er is geen onverwacht applicatiebestand dat de gebruiker eerst kan bekijken voordat het wordt geopend. De beslissing om de pagina te vertrouwen wordt in plaats daarvan verpakt als het kopiëren van een installatieopdracht van een ogenschijnlijk officiële productpagina. 212

Vermoedelijke AMOS-malware als eindpunt

De beschikbare berichtgeving beschrijft een keten met meerdere fasen. Nadat de geplakte opdracht was uitgevoerd, haalden vervolgscripts een uiteindelijke Mach-O-uitvoerbare file op. Die werd opgeslagen als /tmp/helper, waarna de uitgebreide bestandskenmerken met xattr -c werden verwijderd, het bestand uitvoerbaar werd gemaakt en gestart. 3411

Het verwijderen van uitgebreide kenmerken kan macOS-quarantainemetadata wissen en mogelijk het aantal beveiligingswaarschuwingen verminderen dat verschijnt wanneer een gedownload bestand wordt geopend. 411 Technische berichtgeving meldde dat de uiteindelijke binary zowel Intel- als Apple Silicon-architecturen ondersteunde. 1521

Cato zag sterke overeenkomsten met publiek beschreven activiteit van Atomic macOS Stealer, meestal AMOS genoemd. Andere berichtgeving omschreef de payload als een vermoedelijke AMOS-infostealer en niet als een legitiem onderdeel van Codex. 29 AMOS wordt in verband gebracht met het stelen van browsergegevens, inloggegevens en informatie uit cryptowallets. 1

Vertrouwde infrastructuur verhulde de fraude

De campagne was effectief doordat verschillende bekende vertrouwenssignalen werden gecombineerd, in plaats van te leunen op één geavanceerde exploit:

• Zoekintentie: de advertentie bereikte mensen die actief naar een Codex-installatie zochten.
• Betaalde plaatsing: een gesponsord resultaat stond op een opvallende plek in Google Search. 912
• Google-hosting: de bestemming gebruikte het legitieme domein sites.google.com. 29
• Merknabootsing: de pagina maakte gebruik van herkenbare OpenAI- en Codex-huisstijl. 1012
• Taal van ontwikkelaars: de opdracht leek op een normale npm-installatiestap. 35
• Uitvoering door de gebruiker: dankzij ClickFix voerde het slachtoffer de opdracht zelf uit in plaats van een ongevraagde installer te openen. 213

De valse portal gebruikte ook een iframe om inhoud van de aanvallers vanaf een afzonderlijk kwaadaardig domein weer te geven. Zo kon de zichtbare pagina de geloofwaardigheid van Google Sites behouden, terwijl de operators meer controle hielden over de ingebedde installatie-ervaring. 9

In secundaire berichtgeving worden aanvullende ontwijkingstechnieken genoemd, waaronder verschillende onschuldige reacties afhankelijk van apparaat of URL en het verwisselen van payloads. De aangeleverde bronnen onderbouwen niet elk van die implementatiedetails onafhankelijk. Die claims moeten daarom voorzichtig worden geïnterpreteerd en niet zonder meer als kenmerken van de hele campagne worden beschouwd.

Wat Mac-ontwikkelaars hiervan kunnen leren

De belangrijkste waarschuwing is eenvoudig: een opdracht die van een downloadpagina wordt gekopieerd, is nog altijd code-uitvoering. Een betrouwbaar ogend zoekresultaat, bekende branding of een URL op Google Sites bewijst niet dat de instructies legitiem zijn.

Installatieopdrachten voor ontwikkelaarstools verdienen dezelfde controle als gedownloade binaries. Controleer de uitgever en installatiemethode via bekende officiële kanalen, plak geen ondoorzichtige opdrachten zomaar in Terminal en beschouw opdrachten met gecodeerde URL’s of scripts op afstand als een ernstig waarschuwingssignaal.

Deze campagne laat zien waarom malware steeds vaker niet het product zelf aanvalt, maar de route ernaartoe. Zoekadvertenties wekten het eerste vertrouwen, Google-hosting versterkte dat vertrouwen, de OpenAI-huisstijl maakte de pagina herkenbaar en ClickFix zette het geheel om in een door de gebruiker geautoriseerde malwarestart. 234