Мошенники используют Google Sites и украденные аккаунты Google Ads для распространения вредоносного ПО под видом OpenAI Codex

Киберпреступники запустили рекламную кампанию, нацеленную на пользователей macOS, в которой они злоупотребляют доверием к Google и OpenAI для распространения инфостилера AMOS.

Мошенники используют Google Sites и украденные аккаунты Google Ads для распространения вредоносного ПО под видом OpenAI Codex. Фото: СС0

Злоумышленники создали поддельную страницу загрузки OpenAI Codex на Google Sites, при этом сам сайт не содержит вредоносного кода — вместо этого он использует iFrame, отображающий контент с другого ресурса, что позволяет обходить системы безопасности Google.

Реклама этого сайта размещалась в Google Ads через украденные легитимные аккаунты с хорошей репутацией, и показывалась пользователям, ищущим «скачать codex macos», в самом верху поисковой выдачи.

Поддельный сайт внешне выглядит как настоящий, но кнопка загрузки для Windows является обманкой и не работает, в то время как для Mac пользователям предлагается вставить команду в Терминал, что приводит к заражению вредоносным ПО. AMOS способен похищать данные браузера, учетные данные для входа, информацию о криптовалютных кошельках и другие конфиденциальные сведения.

Исследователи Cato CTRL отмечают, что эта кампания представляет собой вариацию атак ClickFix, где создается видимость легитимного процесса установки, особенно с учетом того, что многие ИИ-агенты, включая официальный Codex CLI от OpenAI, действительно устанавливаются через терминал macOS.