「Codex」検索ユーザーを狙うAMOS Stealer、Google Sitesを悪用してマルウェアを配布

偽のCodexインストールページから情報窃取マルウェアを配布

Cato Networksは、OpenAIのCodexを装った偽のmacOS向けインストールページが、Atomic macOS Stealer（AMOS）とみられる悪意あるペイロードを配布していると報告した。攻撃ではClickFix手法とGoogle Sitesが悪用され、Codexのインストール方法を検索するmacOSユーザーを偽サイトへ誘導し、悪意あるシェルスクリプトを実行させる。

攻撃の特徴の一つが、信頼性の高いGoogle Sitesドメインの悪用だ。攻撃者は悪意あるコンテンツをGoogle Sites上に直接ホストするのではなく、iframeを介して外部の攻撃者管理ドメインからコンテンツを読み込ませる。これにより、Google Sitesを入口として利用しながら、表示するコンテンツを外部から制御できる仕組みとなっていた。

ユーザーに実行を促すコマンドは一見するとnpm関連の正規コマンドのように見えるが、実際にはBase64でエンコードされたURLから悪意あるシェルスクリプトをダウンロードして実行する。続くペイロードは「/tmp」ディレクトリに保存され、さらに最終ペイロードを取得・実行して情報窃取につなげる多段階の攻撃チェーンが構成されている。

こうした攻撃では、Google Sitesのような正規サービスが攻撃チェーンの一部として利用されるため、ドメインの信頼性だけで通信を判断することが難しくなる。対策では、不審なDNS通信や外部ドメインへの接続、シェルから実行されるダウンロード処理などを監視するとともに、検索結果から誘導されたインストール手順でTerminalコマンドを実行する際には、その配布元を確認することが重要となる。