إعلانات OpenAI Codex المزيفة تنشر برمجيات خبيثة على ماك

يكفي أحيانًا أن يبحث مطور عن أداة توفر عليه دقائق من العمل، حتى يجد نفسه أمام صفحة تبدو مألوفة أكثر مما ينبغي. هذا بالضبط ما يحدث في حملة خبيثة جديدة تستهدف مستخدمي macOS عبر إعلانات مزيفة تحمل اسم OpenAI Codex، حيث يتحول البحث العادي في جوجل إلى بوابة محتملة لإصابة الجهاز ببرمجية سرقة معلومات. الخبر هنا لا يتعلق بإعلان مضلل فحسب، بل بطريقة هجوم تعكس تغيرًا لافتًا في أساليب توزيع البرمجيات الخبيثة على أجهزة ماك.

بحسب باحثي Cato Networks، ظهرت نتائج بحث مدفوعة تستهدف من يبحثون عن تنزيل Codex على macOS. هذه الإعلانات تقود المستخدم إلى صفحة مستضافة على Google Sites وتستخدم هوية بصرية تشبه OpenAI، ما يمنحها قدرًا من المصداقية السريعة. في الظاهر، يبدو كل شيء منسجمًا مع تجربة تنزيل أداة تطوير حديثة، لكن المحتوى الحقيقي لا يقدم ملف تثبيت أصلًا.

بدلًا من ذلك، تطلب الصفحة من المستخدم فتح الطرفية ولصق أمر يبدو كأنه جزء طبيعي من التثبيت. هذه النقطة بالذات هي قلب الخدعة، لأن المهاجم هنا لا يحاول تجاوز تحذيرات النظام بملف تنفيذي مباشر، بل يدفع الضحية إلى تنفيذ الأمر بنفسه، وكأن الثقة أصبحت هي آلية العدوى الأساسية.

الأسلوب المستخدم ينتمي إلى ما يعرف باسم ClickFix، وهو نهج بات أكثر حضورًا في حملات التصيد والبرمجيات الخبيثة. الفكرة بسيطة ومزعجة في الوقت نفسه: بدل إرسال مرفق مشبوه أو تطبيق مكشوف، يقنع المهاجم المستخدم بأن ينفذ أوامر يدوية داخل النظام، غالبًا تحت غطاء حل مشكلة أو إكمال تثبيت أو تفعيل أداة.

في هذه الحملة، يبدأ الأمر بتعليمة npm تبدو مشروعة لتثبيت Codex، ثم يتسلل إليها جزء مخفي يفك ترميز رابط مشفر بصيغة Base64، ويجلب سكربت shell من خادم يتحكم فيه المهاجم، ثم يشغله عبر zsh. عند هذه اللحظة، لا يكون المستخدم قد حمّل برنامجًا معروفًا فحسب، بل يكون قد فتح بنفسه الباب لسلسلة إصابة متعددة المراحل.

الصورة التقليدية التي ترى macOS بيئة أقل تعرضًا للهجمات لم تعد مريحة كما كانت. السكربت الذي تم رصده يحمل مرحلة إضافية تتواصل مع خادم المهاجم، ثم تنزل ملفًا تنفيذيًا بصيغة Mach-O إلى مسار مؤقت داخل النظام. الأخطر أنه يزيل معلومات الأمان التي يستخدمها macOS لوضع علامة على الملفات المشبوهة، بما يساعد الحمولة الخبيثة على تفادي بعض التحذيرات المعتادة قبل التشغيل.

الباحثون أشاروا أيضًا إلى أن الملفات النهائية من نوع universal Mach-O، أي أنها تعمل على أجهزة Intel وأجهزة Apple Silicon معًا. هذا تفصيل تقني مهم، لأنه يعني أن الحملة ليست عشوائية أو بدائية، بل مصممة بعناية لتوسيع نطاق الإصابات الممكنة داخل بيئة ماك الحديثة والقديمة في آن واحد.

رغم أن Cato Networks لم تنسب الحملة بشكل قاطع إلى Atomic macOS Stealer أو AMOS، فإن أوجه الشبه كثيرة، من هندسة الهجوم إلى طريقة بناء الحمولة النهائية. وAMOS ليس اسمًا هامشيًا في مشهد التهديدات على macOS، بل واحد من أشهر برمجيات سرقة المعلومات التي انتشرت سابقًا عبر تنزيلات مزيفة وإعلانات خبيثة.

هذا النوع من البرمجيات يستهدف عادة كلمات المرور، وبيانات المتصفحات، ومحافظ العملات الرقمية، ومعلومات الجلسات المحفوظة. لذلك، فإن الضحية هنا لا تخسر مجرد جهاز ملوث، بل قد تفقد طبقات كاملة من هويتها الرقمية العملية والشخصية، خصوصًا إذا كانت من فئة المطورين الذين يحتفظون بمفاتيح وصول وحسابات سحابية وأدوات نشر على أجهزتهم.

استغلال اسم Codex ليس تفصيلًا عابرًا. أدوات البرمجة المدعومة بالذكاء الاصطناعي أصبحت مقصدًا يوميًا للمطورين، وهذا يجعلها طعمًا مثاليًا للهندسة الاجتماعية. المهاجمون يعرفون أن المستخدم الذي يبحث عن مساعد برمجي جديد يكون أكثر استعدادًا لتجربة خطوات غير مألوفة، خاصة إذا بدت تقنية أو موجهة للمطورين.

التحقيق أشار أيضًا إلى صفحة مشابهة تنتحل Claude Code من Anthropic، وتشارك البنية التحتية نفسها تقريبًا. هذا يعني أننا لا نتحدث عن استغلال اسم شركة واحدة، بل عن اتجاه أوسع يستفيد من الحماس المحيط بأدوات الذكاء الاصطناعي، ومن السرعة التي يتبنى بها المطورون خدمات جديدة قبل ترسخ أنماط تحقق واضحة وآمنة حولها.

اللافت أن البنية الخبيثة لا تعرض المحتوى نفسه للجميع. فقد اعتمد المهاجمون على iframe وبنية تتحقق من نظام التشغيل ومسار الوصول قبل تقديم الحمولة المناسبة، ما يصعّب التحليل ويرفع قدرة الحملة على التمويه. هذه ليست عشوائية إجرامية، بل تشغيل مرن يشبه في دقته بعض ممارسات الاستهداف الإعلاني، مع فارق أن الغاية هنا سرقة البيانات لا تحسين التحويلات.

المشهد الأوسع واضح: سطح الهجوم لم يعد يبدأ من البريد الإلكتروني فقط، بل من محرك البحث أيضًا. ومع صعود أدوات التطوير المعتمدة على الذكاء الاصطناعي، ستصبح أسماء المنتجات نفسها جزءًا من ساحة المعركة بين المنصات الشرعية ومشغلي البرمجيات الخبيثة.

الدرس الأهم ربما ليس أن البرمجيات الخبيثة صارت أذكى، بل أن الثقة الرقمية أصبحت أسهل في التقليد من أي وقت مضى. وما دام الوصول إلى المستخدم يمر عبر إعلان مقنع وتعليمة طرفية واحدة، فإن الفاصل بين الإنتاجية والاختراق بات أرق مما يحب كثيرون الاعتراف به.