概要
セキュリティ企業Cato Networksの調査により、AIコーディングツール「OpenAI Codex」を装った悪意あるキャンペーンが発覚した。「codex macos download」などの検索キーワードに対するスポンサー広告経由でユーザーを誘導し、Google Sites上に構築された偽のダウンロードページから、macOS向けに情報窃取型マルウェアを配布していたという。この広告は正規のOpenAI公式サイトの検索結果よりも上位に表示されるよう設定されており、AIコーディングツールを積極的に利用する開発者層を狙ったものとみられる。
「ClickFix」を悪用した手口
本キャンペーンは、被害者自身に感染操作を実行させる社会工学的手法「ClickFix」の応用形とされる。偽のダウンロードページはmacOS版・Linux版の選択肢を用意した本物そっくりのインストール画面を表示し、訪問者にTerminalアプリを開いて特定のコマンドを貼り付けて実行するよう指示する。一見正規のインストールコマンドに見えるが、実際にはBase64エンコードされたURLをデコードし、外部サーバーからシェルスクリプトを取得・実行する仕組みになっていた。
感染チェーンと検出回避の技術
取得されたシェルスクリプトは、まず「/api/metrics/run?event=pasted」というエンドポイントにコマンドが貼り付けられた旨をテレメトリとして送信したうえで、/tmp/helperにペイロードを段階的にダウンロードし、xattr -cコマンドでmacOSのGatekeeperが警告を出す根拠となる隔離属性（quarantine）メタデータを削除する。最終的に実行されるのはIntel・Apple Silicon両対応のユニバーサルMach-Oバイナリである。Cato Networksは、この挙動が情報窃取マルウェア「Atomic macOS Stealer（AMOS）」の既知の感染チェーンと強い類似性を持つと分析している。攻撃者はOSやアクセス経路を判定するゲートキーピング機構も実装しており、macOS以外のデバイスやセキュリティ研究者の自動分析環境からは無害な製品ページに見えるよう作り込まれていた。
拡大する標的とインフラ
調査では少なくとも3系統のインフラが確認されており、いずれも共通の初期誘導ページから接続する構成になっている（このうち1系統は、別の系統と同一のiframeホストを再利用していた）。この設計により攻撃者は、検索広告や誘導ページ自体を変更することなく、裏側の悪性コンテンツだけを差し替えられる。さらにCato Networksは、OpenAI Codexだけでなく、AnthropicのAIコーディングツール「Claude Code」を模した類似の着地ページを提供する関連インフラも発見しており、こちらはGoogle Sites以外のホスティングサービスを利用していたという。
今後の対策
研究者らは、信頼された検索広告枠、正規のホスティングサービス（Google Sites）、そして知名度の高い開発ツールブランドという「信頼の3要素」が組み合わさることで、マルウェア実行に至る説得力のある経路が成立してしまう点を注意喚起している。単一の指標だけでは検知が難しいため、スポンサー広告経由のトラフィック、埋め込みiframeコンテンツ、Terminalでの実行、外部への通信という複数の兆候を関連付けて検出する必要があると指摘した。