偽のCodexダウンロードがGoogleサイトを悪用、macOSマルウェアを配布

偽のCodexダウンロードキャンペーンが、スポンサー検索結果や正規のGoogleサイトのページ、ClickFix形式の手順を悪用し、macOSユーザーをだましてマルウェアを実行させていたことが分かりました。

Cato Networksの研究者は8月24日に公開した技術解説記事の中で、このキャンペーンが「codex macos download」といった検索クエリのスポンサー検索結果を通じて、OpenAIのCodexダウンロードポータルを装ったGoogleサイトのページへユーザーを誘導していたと報告しています。

この偽ポータルはmacOS版とLinux版の両方のダウンロードオプションを提示していましたが、研究者らが実際にペイロード配布を確認できたのはmacOS向けのみでした。

Googleサイトが信頼性を演出

目に見えるGoogleサイトのページは、このキャンペーンのフロントエンドに過ぎませんでした。攻撃者はiframeを介して自らが管理するコンテンツを埋め込み、最初の接触には信頼できるホスティングドメインを利用する一方、実際に動作するClickFixコンテンツは別のインフラ上に置いていました。Catoは3つのインフラセットを特定しており、そのうち3つ目は1つ目で確認されたiframeホストを再利用していました。

2つ目のインフラセットには単純な回避策が組み込まれていました。実際に動作するClickFixページは予想外のパスから配信される一方で、より直感的なパスにアクセスすると無害な偽の製品ページが表示される仕組みです。

Cato Networksはまた、macOS以外のデバイスからGoogleサイトの偽ページを開いた場合にも、無害なコンテンツが表示されることを確認しています。このようにパスとOS(オペレーティングシステム)を判別してコンテンツを出し分ける仕組みにより、自動解析ツールや研究者は実際に動作する偽ページの代わりに無害なページを目にすることになります。

その後、偽のインストーラーは被害者に対し、ターミナルを開いて、一見正規のCodexインストール手順に見えるコマンドを貼り付けるよう指示します。裏側では、このコマンドがエンコードされたURLをデコードし、感染チェーンを継続させるシェルスクリプトを取得していました。

この感染チェーンは3段階を経て、最終的にMach-Oペイロードへと至ります。貼り付けられたコマンドがシェルスクリプト形式のローダーを取得し、それが第2段階のスクリプトをデコード・実行し、さらにそのスクリプトがMach-Oを取得するという流れです。

このネットワークセキュリティ企業によると、インフラセットが進むにつれてローダーはより強固に暗号化・難読化されるようになっており、第2段階のスクリプトは、最終ペイロードを取得する前に、被害者がコマンドを貼り付けたという記録を残していました。

そのペイロードを起動する前に、第2段階のスクリプトはファイルを/tmp/helperに配置し、拡張属性を除去していました。これにより、通常はインターネットから取得したファイルに対してmacOSが警告を表示する際の根拠となる、ダウンロード関連の検疫(quarantine)メタデータが削除されます。

macOSのClickFixについて詳しくはこちら: Atomic Stealerを使ったmacOS ClickFix攻撃、Appleのセキュリティ警告を回避

AMOS配布フレームワークとの強い類似性

Cato Networksは、このキャンペーンの配布フレームワークと、以前から報告されているAtomic macOS Stealer(AMOS)の感染チェーンとの間に、多くの共通点があることを発見しました。エンコードされたシェルローダー、テレメトリ通信のリクエスト、アップデートを装ったペイロード取得、そしてIntel・Apple Siliconの両Macで動作するよう作られ/tmp/helperに配置される汎用Mach-Oペイロードなどが一致しています。

研究者らは、この類似性は強く、AMOSの配布活動と一致するものであるとしつつも、最終的なペイロードがAMOSであることを証明するものだとは位置づけていません。特に、配布経路のテレメトリだけを根拠に、実行時のMach-Oの挙動について結論づけるべきではないと注意を促しています。

今回の調査結果は、信頼できるプラットフォームやなじみのある開発者向けワークフローを通じてユーザーを狙う、AIツールへのなりすましやClickFixキャンペーンの広がりを裏付けるものとなっています。

Cato Networksによると、防御側がこのキャンペーンを検知するには、単一の指標に頼るのではなく、スポンサー検索経由の配布経路、埋め込まれたWebコンテンツ、ターミナルでの実行、そして外部通信の活動を組み合わせて相関分析する必要があるとしています。