Mac est visé par une nouvelle campagne malveillante qui détourne OpenAI Codex pour piéger les utilisateurs. Des cybercriminels diffusent de faux sites de téléchargement via des résultats sponsorisés sur Google, avec une apparence suffisamment crédible pour tromper au premier coup d’œil. Le piège se referme ensuite dans le Terminal.
De faux téléchargements OpenAI Codex apparaissent dans Google
Les attaquants exploitent la popularité de Codex pour attirer les propriétaires de Mac vers de fausses pages de téléchargement.
Ces pages peuvent être promues par l’intermédiaire de résultats sponsorisés Google, ce qui leur donne une apparence plus rassurante qu’un simple lien inconnu. L’identité visuelle d’OpenAI est également reprise pour renforcer l’illusion.
Le risque est là : un utilisateur pressé peut facilement croire qu’il se trouve sur une page légitime.
Le faux site demande d’ouvrir le Terminal
Une fois sur la page frauduleuse, l’utilisateur ne télécharge pas un installateur classique.
À la place, le site lui demande d’ouvrir le Terminal de macOS, puis de copier-coller une commande présentée comme nécessaire pour installer Codex.
C’est précisément à ce moment que l’attaque commence.
La commande paraît technique, mais banale. En réalité, elle déclenche une chaîne d’actions qui permet de récupérer puis d’exécuter du code malveillant sur le Mac.
Une attaque basée sur la technique ClickFix
Cette méthode est connue sous le nom de ClickFix.
Le principe est simple : au lieu d’exploiter directement une faille, les pirates poussent la victime à exécuter elle-même la commande dangereuse.
La commande peut notamment décoder une adresse dissimulée, télécharger un script depuis un serveur contrôlé par les attaquants puis l’exécuter avec zsh.
Autrement dit, le malware ne s’installe pas tout seul. L’utilisateur lui ouvre la porte.
Le malware peut toucher les Mac Intel et Apple Silicon
Les chercheurs de Cato Networks ont identifié un fichier final au format Mach-O universel.
Cela signifie qu’il peut fonctionner aussi bien sur les anciens Mac équipés de processeurs Intel que sur les machines plus récentes dotées de puces Apple Silicon.
La campagne ne vise donc pas uniquement une génération précise de Mac.
Le code malveillant tente également de supprimer certains attributs de macOS associés aux fichiers téléchargés. Cette manipulation peut réduire l’efficacité de certains avertissements de sécurité du système.
La campagne présente des similitudes avec Atomic macOS Stealer
Les chercheurs ont relevé plusieurs ressemblances avec Atomic macOS Stealer, également connu sous le nom d’AMOS.
Ce malware est spécialisé dans le vol d’informations et a déjà été utilisé dans des campagnes passant par de faux logiciels, des sites frauduleux et des publicités malveillantes.
Les éléments observés montrent de fortes similitudes avec des campagnes attribuées à AMOS, sans pour autant permettre d’affirmer avec une certitude absolue qu’il s’agit exactement de la même opération.
La nuance compte.
Une simple commande dans le Terminal peut suffire
Cette campagne montre surtout que les attaques sur Mac ne passent pas toujours par un fichier visiblement suspect.
Ici, tout repose sur la confiance accordée à une page bien présentée et à une commande qui semble normale.
Le meilleur réflexe reste donc très simple : ne jamais copier une commande Terminal depuis une publicité ou un site inconnu, même si la page reprend le logo et les couleurs d’une entreprise connue.
Pour OpenAI Codex, mieux vaut passer uniquement par les canaux officiels.
Source :
https://www.infosecurity-magazine.com/news/fake-codex-download-google-sites
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
