มอลแวร์ปลอม OpenAI Codex ล้วงข้อมูล macOS ผ่าน Google Ads

ผู้ใช้ macOS หลายคนหลงเชื่อว่ากำลังดาวน์โหลดและติดตั้ง OpenAI Codex แต่จริง ๆ แล้วไฟล์ที่ได้รับเป็นมัลแวร์ชนิด AMOS ที่สามารถขโมยรหัสผ่านและข้อมูลสำคัญได้ภายในไม่กี่วินาที การโจมตีใช้ Google Sites และบัญชี Google Ads ที่ถูกขโมยเพื่อสร้างหน้าเว็บปลอมและโฆษณาที่ดูเหมือนเป็นผลการค้นหาที่น่าเชื่อถือของ Google

Overview

แคมเปญนี้ถูกออกแบบมาให้ผู้ใช้ที่กำลังมองหา “codex macos download” พบโฆษณาอยู่บนสุดของหน้า ผลลัพธ์นำไปสู่เว็บไซต์ปลอมซึ่งดูเหมือนหน้าดาวน์โหลดของ OpenAI Codex อย่างแท้จริง เว็บไซต์ไม่ได้มีโค้ดอันตรายโดยตรง แต่ฝัง iFrame ที่ชี้ไปยังเซิร์ฟเวอร์อื่นที่ให้ไฟล์มัลแวร์

การใช้ Google Sites ร่วมกับบัญชี Google Ads ที่ถูกขโมยทำให้โฆษณาผ่านระบบตรวจสอบอัตโนมัติของ Google ได้โดยไม่ถูกรบกวน ซึ่งหมายความว่าผู้โจมตีสามารถใช้เงินของผู้อื่นในการโปรโมทแคมเปญได้อย่างต่อเนื่อง นักวิจัยจาก CATO CTRL ระบุว่า การเลือกใช้ช่องทางเหล่านี้เป็นการเพิ่มระดับความน่าเชื่อถือให้กับลิงก์ปลอม

How the Attack Works

เมื่อผู้ใช้คลิกปุ่มดาวน์โหลดบนหน้าเว็บ จะพบว่าปุ่ม “Windows” ทำหน้าที่เป็นดักจับ (decoy) ไม่ทำอะไร ส่วนปุ่ม “Mac” นำไปสู่ขั้นตอนติดตั้งที่ไม่ใช่ไฟล์เอ็กซีคิวเทเบิล แต่ให้ผู้ใช้คัดลอกคำสั่งและวางลงใน Terminal ของ macOS การกระทำนี้ทำให้ระบบดำเนินการดาวน์โหลดและรันโค้ดอันตรายโดยอัตโนมัติ

นักวิจัยเรียกรูปแบบนี้ว่า “ClickFix attack” แม้ว่าการโจมตีคลาสสิกของ ClickFix จะสร้างหน้าจอปลอมเพื่อแสดงปัญหาเท็จก่อนเสนอทางแก้ไข แต่ในกรณีนี้ผู้โจมตีเลือกใช้คำสั่ง Terminal ที่ดูเหมือนเป็นขั้นตอนการติดตั้งอย่างเป็นทางการของ OpenAI Codex CLI เพื่อหลอกลวงให้ผู้ใช้ดำเนินการต่อโดยไม่สงสัย

Technical Details

ไฟล์ที่ถูกดาวน์โหลดจาก iFrame คือมัลแวร์ชนิด AMOS ซึ่งเป็น infostealer สำหรับ macOS ที่มีความสามารถดังต่อไปนี้:

• ขโมยข้อมูลเบราว์เซอร์ เช่น คุกกี้และประวัติการเข้าชม
• ดึงข้อมูลล็อกอิน ของบริการออนไลน์ต่าง ๆ รวมถึงอีเมลและโซเชียลเน็ตเวิร์ค
• รวบรวมข้อมูลกระเป๋าเงินคริปโต ที่เก็บไว้ในเครื่องหรือส่วนขยายของเบราว์เซอร์

หลังจากติดตั้งสำเร็จ AMOS จะส่งข้อมูลที่เก็บได้ไปยังเซิร์ฟเวอร์ควบคุมของผู้โจมตีโดยอัตโนมัติ ทำให้แฮกเกอร์สามารถเข้าถึงบัญชีและสินทรัพย์ดิจิทัลของเหยื่อได้อย่างรวดเร็ว

Impact & Mitigation

การโจมตีครั้งนี้มีเป้าหมายหลักคือผู้ใช้ macOS ที่สนใจเทคโนโลยี AI และอาจไม่มีความชำนาญด้านความปลอดภัย การที่หน้าเว็บและโฆษณาปรากฏบนผลลัพธ์แรกของ Google ทำให้ความเสี่ยงต่อการหลงเชื่อสูงกว่าเดิม ผู้ใช้ที่ติดตั้ง AMOS แล้วอาจพบการขโมยข้อมูลส่วนบุคคลทันทีโดยไม่มีสัญญาณเตือน

เพื่อป้องกันเหตุการณ์ซ้ำ นักวิจัยแนะนำให้ผู้ใช้:

• ตรวจสอบ URL อย่างละเอียดและหลีกเลี่ยงการดาวน์โหลดจากลิงก์ที่ไม่ได้มาจากเว็บไซต์อย่างเป็นทางการของ OpenAI
• ไม่คัดลอกหรือวางคำสั่งใด ๆ ใน Terminal หากไม่มีความแน่ใจว่ามาจากแหล่งที่เชื่อถือได้
• ใช้ซอฟต์แวร์ป้องกันมัลแวร์ที่รองรับ macOS และอัปเดตระบบปฏิบัติการอย่างต่อเนื่อง

Analysis

การใช้ Google Ads ที่มีสถานะดีเพื่อส่งเสริมโฆษณาปลอมเป็นตัวชี้ให้เห็นถึงช่องโหว่ในกระบวนการตรวจสอบของแพลตฟอร์มใหญ่ ผู้โจมตีได้อาศัย “ความเชื่อมั่นต่อ Google” เป็นเครื่องมือหลักในการหลอกลวง ซึ่งทำให้ผู้ใช้หลายคนละเลยการตรวจสอบแหล่งที่มา

นอกจากนี้ การเลือกตั้งค่าให้เป็น Terminal command แทนไฟล์เอ็กซีคิวเทเบิลช่วยลดโอกาสที่จะถูกจับโดยระบบป้องกันแบบสแกนไฟล์ เนื่องจากคำสั่งจะถูกรันในบริบทของผู้ใช้และอาจหลบการตรวจสอบของแอนตี้ไวรัสที่มุ่งเน้นไฟล์ที่มีลักษณะเป็น executable

แคมเปญนี้ชี้ให้เห็นว่าผู้โจมตีกำลังปรับตัวเข้ากับแนวโน้มการใช้งาน AI ของผู้บริโภคและใช้ช่องทางความน่าเชื่อถือของบริการระดับโลกเพื่อเพิ่มประสิทธิภาพของการฟิชชิงในรูปแบบใหม่

Summary

แคมเปญที่อ้างว่าเป็นการดาวน์โหลด OpenAI Codex สำหรับ macOS ใช้ Google Sites, บัญชี Google Ads ที่ถูกขโมย และคำสั่ง Terminal เพื่อเผยแพร่มัลแวร์ AMOS ซึ่งสามารถขโมยข้อมูลสำคัญได้ในไม่กี่วินาที ผู้ใช้ควรตรวจสอบแหล่งที่มาของซอฟต์แวร์อย่างละเอียดและหลีกเลี่ยงการรันคำสั่งที่ไม่ได้รับการยืนยันจากผู้พัฒนาที่เชื่อถือได้.