Mã độc Mac lan truyền qua quảng cáo giả OpenAI Codex
"Researchers reported a malvertising campaign using fake OpenAI Codex download pages to target macOS developers with a ClickFix-style infection chain. Victims are instructed to paste a Terminal command that decodes a Base64 URL, downloads attacker-controlled scripts, and ultimately fetches a Mach-O payload that removes macOS download security attributes before execution; the activity shows similarities to Atomic macOS Stealer (AMOS), though attribution is not confirmed."
Rủi ro cao với người dùng macOS, vì nạn nhân tự thực thi lệnh độc hại; chiến dịch có thể dẫn đến mất dữ liệu, đánh cắp thông tin và né cảnh báo bảo mật.
Có thể ảnh hưởng đến đội phát triển và môi trường endpoint của doanh nghiệp, làm tăng nguy cơ sự cố an ninh, gián đoạn vận hành và chi phí ứng phó.
Các nhà nghiên cứu của Cato Networks ghi nhận một chiến dịch malvertising nhắm vào người dùng macOS, đặc biệt là lập trình viên đang tìm tải OpenAI Codex. Kẻ tấn công dùng quảng cáo tìm kiếm được tài trợ dẫn đến trang tải xuống giả mạo trên Google Sites, sau đó hướng nạn nhân mở Terminal và dán một lệnh cài đặt có vẻ hợp lệ.
Thực tế, lệnh này giải mã một URL Base64, tải về shell script do kẻ tấn công kiểm soát và tiếp tục kéo xuống một Mach-O payload. Mã độc còn xóa các thuộc tính bảo mật tải xuống của macOS trước khi thực thi, nhằm giảm khả năng bị cảnh báo. Theo Cato, tệp cuối cùng là universal Mach-O, có thể chạy trên cả máy Intel và Apple Silicon.
Chiến dịch này có nhiều điểm tương đồng với Atomic macOS Stealer (AMOS), nhưng chưa có xác nhận chính thức về nguồn gốc. Ngoài ra, hạ tầng tấn công còn kiểm tra hệ điều hành và đường dẫn truy cập để hiển thị nội dung khác nhau, giúp né phân tích.
Khuyến nghị: hạn chế tin vào quảng cáo tìm kiếm, kiểm tra kỹ nguồn tải phần mềm, không chạy lệnh cài đặt từ trang không xác thực, và tăng giám sát với các hành vi bất thường trong Terminal cùng lưu lượng tải xuống từ miền lạ.