Så lurades Mac-utvecklare att köra skadlig kod i jakten på Codex

En rutinmässig sökning efter ett utvecklarverktyg blev startpunkten för en skadlig kodkedja. Enligt Cato Networks säkerhetsforskare i Cato CTRL visades sponsrade Google-resultat för sökningar som ”codex macos download”. Annonserna ledde till en övertygande kopia av en officiell nedladdningssida för OpenAI Codex på Google Sites. Sidan erbjöd ingen vanlig installationsfil – i stället instruerades besökaren att själv köra ett kommando i Terminal. 2910

En sponsrad annons blev den första fällan

Kampanjen riktade sig mot personer som redan letade efter ett sätt att installera Codex på macOS. Den skadliga annonsen kunde visas tillsammans med, eller ovanför, legitima sökresultat och ledde till en Google Sites-sida som imiterade en officiell Codex-portal. Den falska sidan visade alternativ för både macOS och Linux, men forskarna observerade aktiv leverans av skadlig kod endast mot macOS-användare. 510

Att använda en legitim Google-domän gjorde länken mindre misstänkt än en nyregistrerad domän som tydligt tillhör en angripare. Enligt rapporteringen använde operatörerna dessutom stulna Google Ads-konton, vilket kan ha fått annonserna att se ut som om de kom från etablerade annonsörer. 12

ClickFix lät offret utföra den kritiska åtgärden

I stället för att erbjuda en misstänkt DMG-fil bad den falska portalen användaren att öppna Terminal och klistra in ett kommando. Metoden kallas ClickFix och bygger på social manipulation: besökaren får intrycket att hen följer ett normalt installations- eller felsökningssteg, men utför i praktiken själv den åtgärd som startar infektionen. 21213

Kommandot började med en trovärdig npm-liknande installationssträng för Codex. Bakom den till synes normala början avkodade det en Base64-kodad URL, hämtade ett fjärrskript och skickade resultatet till macOS-skalet zsh. 3413

Upplägget utnyttjade utvecklares vana att installera verktyg via kommandoraden. Det tog också bort en tydlig varningssignal: användaren fick ingen oväntad appfil att granska innan den öppnades. I stället presenterades kommandot som en legitim installationsinstruktion från en sida med välbekant varumärkesprofil. 212

Infektionskedjan ledde till en misstänkt AMOS-stjälare

Den rapporterade kedjan bestod av flera steg. När kommandot hade körts hämtade efterföljande skript en Mach-O-fil, sparade den som /tmp/helper, tog bort filens utökade attribut med xattr -c, gjorde den körbar och startade den. 3411

Utökade attribut kan bland annat innehålla metadata kopplad till macOS karantänfunktion. Att ta bort dem kan därför minska antalet säkerhetsvarningar när en nedladdad fil öppnas. 411 Teknisk rapportering uppgav också att den slutliga binärfilen stödde både Intel- och Apple Silicon-arkitekturer. 1521

Cato såg en stark överlappning med den offentligt dokumenterade skadeprogramfamiljen Atomic macOS Stealer, ofta kallad AMOS. Andra rapporter beskrev nyttolasten som en misstänkt AMOS-infostealer snarare än en legitim del av Codex. 29 AMOS förknippas med stöld av webbläsardata, inloggningsuppgifter och information från kryptoval plånböcker. 1

Flera förtroendesignaler byggde en trovärdig falsk installation

Kampanjens styrka låg inte i en enda avancerad sårbarhet, utan i kombinationen av flera signaler som användaren redan var van att lita på:

• Sökintention: annonsen nådde personer som aktivt sökte efter en Codex-installation.
• Betald placering: det sponsrade resultatet syntes i ett uppmärksammat läge i Google Search. 912
• Google-hosting: målsidan använde den legitima domänen sites.google.com. 29
• Varumärkesimitation: sidan efterliknade OpenAI:s välkända Codex-design. 1012
• Utvecklarspråk: kommandot liknade ett normalt npm-baserat installationssteg. 35
• Användarstyrd körning: ClickFix fick offret att själv köra kommandot i stället för att öppna en oväntad installationsfil. 213

Den falska portalen använde dessutom en iframe för att visa innehåll som kontrollerades från en separat skadlig domän. På så sätt kunde den synliga sidan behålla trovärdigheten hos Google Sites, samtidigt som angriparna fick större kontroll över installationsupplevelsen. 9

Vissa sekundära rapporter nämner ytterligare undvikandetekniker, exempelvis svar som varierar beroende på enhet eller URL samt byte av nyttolast. Det tillgängliga underlaget bekräftar dock inte självständigt varje detalj i hur dessa funktioner implementerades. De bör därför ses som uppgifter i rapporteringen, inte som säkra kännetecken för hela kampanjen.

Vad Mac-utvecklare bör tänka på

Den viktigaste lärdomen är enkel: ett kommando som kopieras från en nedladdningssida är fortfarande kodkörning. En trovärdig Google-annons, ett välbekant varumärke eller en URL på Googles infrastruktur bevisar inte att instruktionerna är legitima.

Installationskommandon för utvecklarverktyg bör granskas lika noggrant som nedladdade binärfiler. Kontrollera utgivare och installationsmetod via produktens kända officiella kanaler. Undvik att klistra in ogenomskinliga kommandon i Terminal och var särskilt vaksam på kommandon som innehåller kodade URL:er eller hämtar och kör fjärrskript.

Kampanjen visar hur angripare allt oftare angriper vägen till ett verktyg snarare än själva verktyget. Sökannonsen skapade det första förtroendet, Google-hostingen förstärkte det, OpenAI-profileringen gjorde sidan bekant och ClickFix omvandlade förtroendet till en användarinitierad start av skadlig kod. 234