脅威アクターがOpenAIのCodexダウンロードページを装った偽サイトを悪用し、macOSユーザーを騙してターミナル経由でマルウェアを実行させています。
この攻撃キャンペーンでは、明らかに悪意あるファイルをダウンロードさせる代わりに、被害者自身にコマンドを手動でコピー&ペースト・実行させるソーシャルエンジニアリング手法「ClickFix」が使われています。
攻撃の起点は、「codex macos download」といった検索クエリに対して表示されるGoogleのスポンサー検索結果です。これらの広告は正規のOpenAIへのリンクよりも上位に表示され、ユーザーをCodexのダウンロードポータルを装った巧妙なGoogleサイト(Google Sites)のページへと誘導します。
このページにはmacOS用とLinux用のダウンロードオプションが表示されますが、研究者が実際にマルウェア配布を確認できたのはmacOSユーザー向けのみでした。
Google Sitesは最初の信頼性を演出する役割を担うだけで、実際の悪意あるコンテンツはホストしていません。代わりに、この誘導ページには攻撃者が管理する外部ページがiframeを通じて埋め込まれています。
この仕組みにより、攻撃者はGoogleがホストする信頼性の高いドメインを利用して信憑性を高めつつ、ClickFixのコンテンツやペイロードのホスト先、インフラを独立して自由に変更できるようになっています。
macOSからアクセスした訪問者が偽のダウンロードオプションを選択すると、ページはターミナルを開いてコマンドを貼り付けるよう指示します。
このコマンドは正規のCodex npmインストールプロセスに似せて作られていますが、実際には裏でBase64エンコードされたURLをデコードし、リモートスクリプトを取得します。そのスクリプトはzshにパイプされて実行されます。
感染チェーンは3段階で構成されています。まず、貼り付けられたコマンドがシェルスクリプトのローダーをダウンロードします。このローダーには難読化された埋め込みペイロードが含まれており、evalを使ってデコード・実行されます。
その結果として動作する第2段階のスクリプトは、event=pastedという形式で実行状況のテレメトリを攻撃者が管理するエンドポイントに送信します。
続いて第2段階のスクリプトが、最終的なMach-Oペイロードを/tmp/helperにダウンロードします。xattr -cで拡張属性を削除し、chmod +xで実行権限を付与したうえで、そのファイルを起動します。
拡張属性を削除することで、ダウンロード時に付与される隔離(quarantine)関連のメタデータを取り除ける可能性があり、インターネット経由で取得したファイルに対するmacOSの警告表示を抑制できてしまいます。
研究者は、インフラの構成によってローダーに変化が見られることも確認しています。初期のバージョンでは圧縮されたBase64コンテンツが使われていましたが、新しい亜種ではAESで暗号化されたgzipコンテナが使われ、複数の変数から復号鍵を再構成する仕組みになっていました。
こうした変化は、最終的な配布フローそのものを変えることなく、解析の手間を増やすことを狙ったものです。今回のキャンペーンは、Atomic macOS Stealer(AMOS)の配布活動と多くの共通点が見られます。
共通する特徴としては、Base64デコードによるcurlローダー、難読化されたzshスクリプト、event=pastedというテレメトリ、アップデートを装ったペイロードURL、ユニバーサルMach-Oバイナリ、/tmp/helperへのステージング、実行前の拡張属性削除などが挙げられると、catonetworksは述べています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無効化表記(例: [.])にしています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤上でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/fake-codex-terminal-malware/
