Une campagne d'hameçonnage sophistiquée a détourné des publicités sponsorisées Google destinées aux développeurs macOS, en les orientant vers de fausses pages d'installation hébergées sur Google Sites, a détaillé le 24 août l'équipe Cato CTRL de Cato Networks. Plutôt que de proposer un binaire à télécharger, ces pages incitent la victime à copier une ligne de commande Terminal qui, une fois exécutée, installe un logiciel voleur de données.
La mécanique de l'attaque
La page visible par l'internaute ne contient pas directement de code malveillant : elle affiche une commande qui ressemble à une installation npm classique pour OpenAI Codex. Mais cette ligne décode une URL encodée en Base64, récupère un script distant et l'injecte dans zsh. La chaîne d'infection se déroule en trois phases :
- Un loader shell décode et exécute un blob via eval ;
- Un second stade confirme que la victime a collé la commande, puis télécharge la charge finale dans /tmp/helper ;
- Le fichier voit ses attributs étendus effacés avec xattr -c, est rendu exécutable avec chmod +x puis lancé — contournant ainsi les avertissements de quarantaine de macOS.
Le binaire final est un exécutable universel Mach-O, capable de fonctionner nativement sur Mac Intel et sur Apple Silicon, ce qui étend la portée de l'attaque à la majorité des machines macOS en circulation.
Une infrastructure modulaire et résiliente
Cato a identifié trois ensembles d'infrastructures, chacun associant une page leurre sur Google Sites à un hôte iframe distinct. Cette séparation autorise les opérateurs à remplacer le contenu malveillant sans modifier la page d'appât ni la publicité sponsorisée, rendant la campagne difficile à neutraliser rapidement.
| Set | Leurre Google Sites | Hôte iframe |
|---|---|---|
| Set 1 | sites[.]google[.]com/view/codex-desktop-app/ | bright-links[.]com |
| Set 2 | sites[.]google[.]com/view/codexmac | swiftsaverfin[.]com/codexx/ |
| Set 3 | sites[.]google[.]com/view/cdx-off-page | bright-links[.]com |
Le Set 3 réutilise l'hôte iframe de bright-links[.]com observé dans le Set 1, mais s'appuie sur une infrastructure de télémétrie et de livraison de payload entièrement renouvelée, signe d'une évolution et d'une maintenance active des opérateurs.
Enjeux pour le marketing digital et les plateformes
Cette affaire illustre plusieurs risques clés pour les annonceurs et les plateformes publicitaires : dilution de la confiance des utilisateurs dans les liens sponsorisés, exploitation des processus d'achat d'espace pour des usages criminels, et difficulté à surveiller des pages hébergées sur des services tiers comme Google Sites. Les opérateurs malveillants tirent parti de la légitimité perçue d'éléments de l'écosystème publicitaire pour pousser des techniques d'ingénierie sociale — en l'occurrence la technique dite du ClickFix.
Pour les équipes marketing et communication, la leçon est double : renforcer les contrôles sur les destinations d'annonces et sensibiliser les publics techniques à la prudence avant d'exécuter des commandes copiées depuis le web. Du côté des plateformes, la capacité à détecter et bloquer des iframes qui chargent du contenu externe depuis des domaines suspects devient cruciale.
Enfin, la nature multiplateforme du binaire cible (Intel et Apple Silicon) montre que les menaces sont adaptées aux évolutions du parc utilisateur et que les campagnes malveillantes continuent d'affiner leurs infrastructures pour rester opérationnelles malgré les blocages.
