セキュリティ
スポンサー付き検索結果が、開発者をClickFixマルウェアの罠へと誘い込みます
サイバー犯罪者たちが、OpenAI Codexの偽ダウンロードページを使い、Mac開発者をだましてインストールコマンドに見せかけたマルウェアを実行させています。
このキャンペーンを発見したのはCato Networksの研究者たちで、macOS向けにCodexをダウンロードしようとしていた人々を狙ったスポンサー付きGoogle検索結果を確認したことがきっかけでした。広告はユーザーを、Google Sites上にホスティングされた、OpenAIの見慣れたブランディングをそのまま模した本物そっくりのダウンロードページへと誘導します。しかし、その先に実際のCodexは存在しません。
この偽サイトは、インストーラーを提供する代わりに、Macユーザーにターミナルを開き、示されたコマンドを貼り付けて実行するよう指示します。この手順はインストール作業の一環であるかのように装われていますが、実際にはそのコマンドが多段階のマルウェア感染をひそかに開始させます。
これは、攻撃者が不正な添付ファイルや実行ファイルに頼るのではなく、被害者自身に悪意あるコマンドを実行させる「ClickFix」と呼ばれる手口の一種で、近年急速に広まりつつあります。
今回のケースでは、コマンドはCodexをインストールするための正規のnpm命令に見える内容から始まります。しかしそこには、Base64でエンコードされたURLをデコードし、攻撃者が管理するシェルスクリプトを取得してzshに流し込むコードが仕込まれています。
そのスクリプトはさらに別の段階を呼び出し、攻撃者のサーバーに被害者が罠にかかったことを報告した上で、「/tmp/helper」にMach-O実行ファイルをダウンロードします。続いて、macOSが不審なダウンロードにフラグを立てる際に使用するセキュリティ情報を削除し、起動前に通常表示される警告をマルウェアが回避できるようにします。
Catoによると、最終的なバイナリはユニバーサルMach-Oファイルであり、Intel搭載Macと新しいApple Siliconマシンの両方でネイティブに動作するとのことです。
研究者たちは、このキャンペーンと、かつて偽のソフトウェアダウンロードや不正広告キャンペーンを通じて拡散していた情報窃取型マルウェア「Atomic macOS Stealer」(通称AMOS)との間に、多くの類似点を見出しました。
Catoは今回のマルウェアをAMOSと断定するまでには至っていないものの、攻撃の段階構成から最終的なペイロードの作り方に至るまで、その方向を示す手がかりが数多くあると述べています。
犯人たちは、研究者に手口を詳しく分析されないための対策も講じています。
被害者は最初にGoogle Sitesへとたどり着きますが、悪意あるコンテンツ自体はiframeを使って攻撃者が管理するインフラからページ内に読み込まれる仕組みになっています。このインフラは、訪問者のOSやアクセス経路のパスなどの詳細をチェックしており、攻撃者が狙う対象に当てはまらない訪問者に対しては無害に見えるコンテンツを表示するようになっています。
Catoによれば、この囮サイトはmacOS向けとLinux向けの両方のダウンロードボタンを用意していたものの、実際にマルウェアの感染連鎖が配信されたのはMacユーザーに対してのみ観測されたとのことです。
このような手口の標的になっているのはCodexだけではありません。調査の過程でCatoは、AnthropicのClaude Codeを装った同様のClickFixページを発見しており、このページはCodexキャンペーンとインフラを共有していました。
攻撃者たちは、被害者を見つけるのにさほど苦労する必要もありません。Codexを求めてGoogleで検索する開発者たち自身が、その役割を果たしてくれるからです。スポンサー付き広告は、正規の検索結果よりも上位に偽のダウンロードページを表示させています。®
