攻撃者がGoogle検索のスポンサー広告を悪用し、偽のOpenAI Codexダウンロードページを正規の検索結果よりも上位に表示させ、macOSユーザーをターミナル経由でのマルウェア手動実行へと誘導していることが分かりました。
マルウェア分析ツール
この攻撃は、ユーザーが「codex macos download」などCodex関連のキーワードで検索するところから始まります。OpenAIの正規リストではなく、被害者はスポンサー広告として表示された結果をクリックしてしまい、Codexのダウンロードページを装った巧妙なGoogle Sitesページに誘導されるケースがあります。
この偽ページはmacOSとLinux向けのダウンロードオプションを提示していますが、研究者が実際にペイロード配信を確認できたのはmacOS向けのみでした。
Google Sitesはマルウェアのホスト先としてではなく、信頼性を担保するための「層」として利用されています。表示されるページには、外部から制御されたコンテンツがiframeで埋め込まれており、おそらくGoogleの静的コンテンツプロキシを経由して配信されているとみられます。
この仕組みにより、攻撃者はGoogleがホストするページとしての信頼性を保ちながら、悪意あるClickFixコンテンツを独立して差し替えることが可能になっています。
Catoの研究者は、この誘導手口をbright-links[.]comやswiftsaverfin[.]comなどのドメインでホストされているiframeインフラと関連付けています。
新しいインフラでは、調査を妨害するためのゲーティング(条件分岐)機能も採用されています。ある観測事例では、悪意あるページは実際には/codexx/というパスに置かれており、より直感的な/codex/というパスにアクセスすると無害な偽の製品ページが表示される仕組みになっていました。
このキャンペーンでは、macOS以外のデバイスに対しては無害なコンテンツが配信されるようになっており、自動スキャンや手動分析では実際のペイロード配信の流れを見抜きにくくなっています。
この偽インストーラーは、一般的な悪意あるDMGファイルやアプリケーションのダウンロードを促す代わりに、被害者にターミナルを開いてコマンドを貼り付けるよう指示します。
そのコマンドは、一見もっともらしいCodexのnpmインストール文字列から始まりますが、その後Base64でエンコードされたURLをデコードし、リモートから取得したコンテンツをzshにパイプで渡す仕組みになっています。
これはClickFixの典型的な特徴であり、攻撃者はユーザー自身にマルウェアの実行を承認させるよう仕向けているのです。
Cato Networksの研究者によると、このキャンペーンはClickFixというソーシャルエンジニアリング手法を用いており、Atomic macOS Stealer(AMOS)の配信フレームワークと強い共通点が見られるとのことです。
偽のCodexダウンロード
このコマンドは3段階の配信チェーンを起動します。最初のシェルスクリプトローダーには、エンコードされたペイロードが埋め込まれており、これをデコードしてevalで実行します。
この偽インストーラーは、macOSユーザーにターミナルを開いてコマンドを貼り付けるよう指示します。
その結果として実行される第2段階のスクリプトは、被害者がコマンドを貼り付けたことを報告した上で、最終的なMach-Oバイナリを取得し、xattr -cで拡張属性を消去してから実行可能な状態にし、/tmp/helperから起動します。
拡張属性の削除は重要な意味を持ちます。これらの属性には、ダウンロード元に関する隔離(quarantine)メタデータが含まれている場合があるためです。実行前にこれらを消去することで、スクリプトはインターネットからダウンロードされたファイルに関連するセキュリティ上のコンテキストを弱めているのです。
セキュリティ製品・サービス
最終的なペイロードは、Intelベース・Apple Siliconベースの両方のMacで動作するよう設計されたユニバーサルMach-Oバイナリです。
Catoは、このキャンペーンが公に報告されているAMOSの配信活動と強い共通点を持つと評価しています。
研究者らは、Base64デコードされたcurlローダーが繰り返し使われている点、難読化・圧縮されたzshステージ、/api/metrics/run?event=pastedへ送信されるテレメトリ、アップデートを装ったペイロードURL、/tmp/helperというステージングパス、隔離属性の削除、そしてペイロードの実行挙動を、その根拠として挙げています。
event=pastedというリクエストはペイロードのダウンロードよりも前に発生しており、これは攻撃者がソーシャルエンジニアリングの成功(実行)を追跡していることを示唆しています。
ただしCatoは、このテレメトリだけでは、最終的なMach-Oペイロードが侵害後にどのようなコマンド&コントロール(C2)プロトコルを使用するかまでは特定できないと注意を促しています。
今回の調査では、この活動がより広範なAIツールをテーマとしたマルバタイジング(悪意ある広告)のエコシステムともつながっていることが明らかになっています。過去のキャンペーンでも、Google広告、偽の開発者ツールページ、共有されたAIとの会話、プラットフォーム上でホストされたコンテンツなどを悪用し、悪意あるターミナルコマンドを正規のものに見せかける手口が使われてきました。
Microsoftも別途、偽のユーティリティやトラブルシューティングを装った誘導手口を用いたmacOS向けClickFix活動を報告しており、情報窃取型マルウェアへの感染を引き起こしていると指摘しています。
今回のキャンペーンは、信頼された検索プラットフォーム、信頼性の高いホスティングサービス、馴染みのある開発者ブランド、そしてユーザー自身が貼り付けるターミナルコマンドという4つの要素が組み合わさることで、一つのマルウェア配信チェーンが成立してしまうことを示しています。
組織においては、スポンサー付き検索結果を慎重に精査し、可能な限りリスクの高いコマンドライン実行を制限した上で、curl | zshのような不審なパターンやxattr -cの実行を監視し、既知の悪意あるiframeインフラをブロックすることが求められます。
Macユーザーは、Codexなどの開発者向けツールを入手する際は必ずOpenAIの正規チャネルのみを利用し、インストール・検証・ダウンロード修復などを名目にウェブサイトから提示されたターミナルコマンドを絶対に貼り付けないようにしてください。
侵害指標(Indicators of Compromise)
| 指標 | 役割 |
|---|---|
| sites[.]google[.]com/view/codex-desktop-app/ | Google Sitesの誘導ページ |
| bright-links[.]com | iframeホスト |
| trekmesh15[.]com | スクリプト・ペイロードホスト |
| grove-12[.]com | テレメトリホスト |
| trekmesh15[.]com/curl/ad4e26afb47dc6262d43b5616853349c3bbdab5c8eedac80f695151e00c07df8 | 第1段階スクリプト |
| grove-12[.]com/api/metrics/run?event=pasted | 実行テレメトリ |
注記: IPアドレスおよびドメインは、誤ってアクセスされたりハイパーリンク化されたりすることを防ぐため、意図的に無害化表記(defang、例: [.])を行っています。再度有効な形式に戻す場合は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
★ 不要なセキュリティツールを見極めるには? 1ページでスコア化 – 継承されたセキュリティスタックガイドをダウンロード
セキュリティ製品・サービス
翻訳元: https://gbhackers.com/fake-codex-download/
