Поддельный установщик ИИ-инструмента купил рекламу и встал в поиске выше официального сайта

Схема простая до обидного. Злоумышленники купили рекламу в поиске по запросам вроде «codex macos download» — то есть по тому, что вводит человек, решивший поставить себе популярный инструмент для работы с кодом. Рекламное объявление показывается выше официального результата разработчика.

Ведёт оно на страницу, собранную на бесплатном конструкторе сайтов Google. Это даёт две вещи: приличный адрес, который не вызывает подозрений, и возможность подгружать внутрь этой страницы содержимое со своих серверов. Начинку можно менять сколько угодно, не трогая «чистый» адрес, — пишет обнаружившая кампанию Cato Networks.

Дальше самое важное. Вместо обычного установочного файла пользователю предлагают открыть терминал и вставить туда команду. Команда начинается с правдоподобной установки через пакетный менеджер — то есть первая её часть выглядит именно так, как и должна выглядеть настоящая установка. А дальше тихо раскодируется спрятанный адрес, скачивается удалённый сценарий и передаётся на исполнение.

Цепочка трёхступенчатая. В конце на диск кладётся исполняемый файл, с него снимаются расширенные атрибуты — это убирает пометку «скачано из интернета», из-за которой система обычно предупреждает пользователя, — и файл запускается. Работает и на новых процессорах Apple, и на старых Intel.

Есть и фильтр по жертве: вредонос отдают только тем, кто пришёл с Mac. Остальным показывают безобидную страницу. Тем же способом злоумышленники сделали и лендинг под брендом другого популярного ИИ-инструмента для разработчиков.

Оговорки: исследователи не утверждают, что итоговый файл — конкретный известный похититель данных, они говорят только о сильном сходстве инфраструктуры доставки. Числа жертв и суммы ущерба нет. Реакция поисковика на эту рекламу неизвестна.