Une publicité sponsorisée redirige les utilisateurs vers une fausse page de téléchargement. La campagne utilise la méthode ClickFix pour leur faire exécuter eux-mêmes une commande malveillante dans Terminal.
Les recherches consacrées aux nouveaux outils d’intelligence artificielle deviennent un point d’entrée pour les cybercriminels. Cato CTRL, l’équipe de recherche sur les menaces de Cato Networks, a analysé une campagne visant les internautes à la recherche d’une version de Codex pour macOS. Une publicité placée au-dessus du résultat officiel d’OpenAI les dirige vers une page Google Sites imitant un portail de téléchargement. La présence d’un résultat sponsorisé, l’utilisation d’un service Google et l’apparence d’un outil pour développeurs contribuent à donner une image légitime au dispositif.
Le faux portail demande ensuite à l’utilisateur de copier une commande dans Terminal. L’attaque ne repose donc pas sur le téléchargement habituel d’un installateur. Elle exploite la méthode ClickFix, qui consiste à présenter une manipulation technique comme une procédure nécessaire pour installer ou réparer un logiciel.
Une charge compatible avec les Mac Intel et Apple Silicon
La commande déclenche une chaîne d’infection en trois étapes destinée à masquer l’origine et la nature du programme final. Celui-ci peut fonctionner sur les Mac équipés d’un processeur Intel comme sur ceux utilisant Apple Silicon. Le processus supprime également certains attributs de quarantaine afin de réduire les avertissements associés aux fichiers provenant d’Internet. Cato CTRL relève de fortes similitudes avec des campagnes attribuées à Atomic macOS Stealer, un logiciel conçu pour dérober des informations sur les ordinateurs Apple. Les chercheurs ont notamment retrouvé un mécanisme enregistrant l’exécution de la commande avant le téléchargement de la charge finale. Cet élément ne permet toutefois pas d’identifier le protocole de commande et contrôle utilisé après l’infection.
Le contenu malveillant est diffusé depuis une page externe intégrée à Google Sites. Les attaquants peuvent ainsi le modifier sans toucher à leur page d’approche. Cato CTRL a identifié trois ensembles d’infrastructures reposant sur plusieurs pages et serveurs. Cato Networks indique avoir bloqué les éléments malveillants observés pendant son analyse.
