Minacce · 49 giorni fa
Cato Networks ha osservato una campagna attiva che usa sponsored search e Google Sites per impersonare OpenAI Codex e spingere un payload macOS-only. Il punto non è solo la pagina falsa: il percorso passa da un risultato sponsorizzato a un sito ospitato su un dominio credibile, e da lì a istruzioni ClickFix inserite in iframe.
La vittima viene guidata ad aprire Terminal e a incollare un comando presentato come installazione legittima; quel comando scarica ed esegue lo script che porta al payload finale. In mezzo c’è un passaggio utile all’attaccante ma invisibile ai controlli che guardano solo il sito o la reputazione del dominio: la vera esecuzione avviene dopo che l’utente ha trasformato la pagina in azione sul sistema.
Per SOC, browser, identity e team che gestiscono flotta Mac, la lezione è che un hosting fidato non basta a certificare la sicurezza del contenuto. Se la catena parte da ricerca, passa dal web e finisce nel terminale, la fiducia va letta come un percorso da correlare, non come un singolo segnale.
3 fonti che coprono questa storia
Fake OpenAI Codex download tricks macOS users into installing malware - Help Net Security
Researchers found a fake Codex download page pushing Mac users to paste a malicious Terminal command, part of a wider ClickFix malware trend.
Crooks push Mac malware through fake OpenAI Codex ads
Sponsored search results lead developers straight into a ClickFix malware trap
Fake Codex Download Uses Google Sites to Deliver macOS Malware
Fake Codex pages used Google Sites, sponsored search and ClickFix to target Mac users
Part of the PlainSec briefing for 2026-08-26