L'équipe de recherche sur les menaces Cato CTRL de Cato Networks Ltd. a détaillé aujourd'hui une campagne d'attaque macOS construite autour d'un faux programme d'installation d'OpenAI Codex.
Le leurre se termine lorsque la victime ouvre le terminal et colle une commande qui exécute le logiciel malveillant, le modèle d'ingénierie sociale connu sous le nom de ClickFix.
Cela commence par un résultat de recherche Google sponsorisé pour des requêtes telles que « téléchargement du codex macos ». L'annonce se trouve au-dessus de la propre liste d'OpenAI Group PBC. En cliquant dessus, vous accédez à une page sur Google Sites qui copie le portail de téléchargement du Codex, jusqu'aux boutons macOS et Linux. Cato a observé la livraison de la charge utile uniquement pour macOS.
Cette page Google Sites ne contient aucun code malveillant propre. Le contenu de l'attaquant se charge dans une iframe, probablement acheminé via un proxy de contenu statique de Google. Cette division permet aux opérateurs d'actualiser le contenu ClickFix sans toucher à la page Google Sites que les victimes voient réellement.
Les chercheurs ont cartographié trois ensembles d'infrastructures. L'un d'eux cache son propre leurre. La page ClickFix en direct se trouve à /codexx/, et le chemin /codex/ le plus évident renvoie une page produit inoffensive. Les visiteurs non-macOS ont également reçu du contenu inoffensif. Un analyste ou un scanner demandant le chemin intuitif pourrait ne jamais subir l'attaque.
Le faux programme d'installation guide l'utilisateur dans l'ouverture du terminal et en collant une commande qui commence par une chaîne d'installation npm plausible pour le Codex. Derrière cette ouverture, la commande décode une URL Base64 et dirige un script récupéré à distance vers zsh.
Trois étapes se succèdent. Vient d’abord un chargeur de script shell rempli de code mort et de variables inutilisées, enroulé autour d’un blob codé qu’il décode et exécute via eval. La deuxième étape découle de cette évaluation. La télémétrie est envoyée avant toute autre chose, une requête adressée à un point de terminaison attaquant portant event=pasted, qui enregistre que quelqu'un a exécuté la commande.
Le script extrait ensuite la charge utile finale vers /tmp/helper, .efface les attributs étendus du fichier avec xattr -c, le rend exécutable et le lance. La suppression de ces attributs supprime les métadonnées de quarantaine de téléchargement qui placeraient normalement un avertissement devant l'utilisateur.
Le chargeur lui-même a été retravaillé entre les ensembles d'infrastructures. Les premiers échantillons compressés et codés en Base64 pour la deuxième étape. Les plus récents utilisent un conteneur gzip crypté AES et reconstruisent la clé de déchiffrement à partir de plusieurs variables dispersées dans le script.
Cato associe le cadre de livraison à Atomic macOS Stealer, le voleur d'informations de base mieux connu sous le nom d'AMOS. Le chevauchement couvre la structure de l'URL du chargeur, la demande de télémétrie, le chemin intermédiaire dans /tmp/helper, la suppression des attributs étendus et les URL de charge utile sur le thème de la mise à jour.
Les chercheurs ont décrit la correspondance comme étant forte et cohérente avec l'activité de livraison d'AMOS, sans nommer d'emblée le binaire final. Cette charge utile est un Mach-O universel, elle fonctionne donc sur les Mac Intel et Apple Silicon.
Plusieurs campagnes suivies cette année ont intégré la diffusion de logiciels malveillants dans des outils de développement d'intelligence artificielle. Microsoft Corp. a documenté le 5 août une opération macOS ClickFix associée, qui était passée de leurres ouvertement servis à des portes d'empreintes digitales du navigateur affichant le contenu malveillant uniquement aux cibles probables. Cato a déclaré qu'il avait bloqué l'hôte iframe réutilisé derrière le dernier leurre Google Sites qu'il avait trouvé, et qu'il surveillait toujours les opérateurs faire pivoter les domaines et les emplacements de charge utile.
« Aucune étape unique ne révèle de manière fiable l'attaque », indique le rapport. La détection, ont écrit les chercheurs, dépend de la corrélation entre la diffusion de la recherche, le contenu intégré, l'exécution du terminal et l'activité sortante.
