La fiducia nel dominio ospite diventa parte dell’inganno
Cato Networks ha osservato una campagna attiva che usa sponsored search e Google Sites per impersonare OpenAI Codex e spingere un payload macOS-only. Il punto non è solo la pagina falsa: il percorso passa da un risultato sponsorizzato a un sito ospitato su un dominio credibile, e da lì a istruzioni ClickFix inserite in iframe.
La vittima viene guidata ad aprire Terminal e a incollare un comando presentato come installazione legittima; quel comando scarica ed esegue lo script che porta al payload finale. In mezzo c’è un passaggio utile all’attaccante ma invisibile ai controlli che guardano solo il sito o la reputazione del dominio: la vera esecuzione avviene dopo che l’utente ha trasformato la pagina in azione sul sistema.
Per SOC, browser, identity e team che gestiscono flotta Mac, la lezione è che un hosting fidato non basta a certificare la sicurezza del contenuto. Se la catena parte da ricerca, passa dal web e finisce nel terminale, la fiducia va letta come un percorso da correlare, non come un singolo segnale.