Fausses pages Codex : la commande à coller qui installe un maliciel sur Mac
D'après Cato Networks (Cato CTRL), « When Trust Becomes the Payload in a Fake Codex ClickFix Campaign », Jakub Osmani et Dr Guy Waizel, 24 août 2026, relayé par The Register
Image : générée (Gemini)
Rédigé à partir de la source originale; chaque fait est vérifié contre le texte source.
À retenir
- Le piège ne ressemble pas à un piège. La page est hébergée sur Google Sites, un service de Google, et reprend l'apparence d'OpenAI. La commande à coller commence par ce qui ressemble à une installation normale, avant d'enchaîner sur le téléchargement d'un programme malveillant.
- C'est la VICTIME qui exécute, et c'est là toute l'astuce. Aucune pièce jointe, aucun fichier à ouvrir : la commande est lancée à la main, donc aucune étape prise isolément ne trahit l'attaque, comme l'écrit Cato. Cette technique porte un nom, ClickFix.
- Un détail dit tout de la mécanique : la télémétrie des attaquants comporte un événement nommé « pasted », soit « collé ». Le programme retire ensuite, selon The Register, l'information de sécurité dont macOS se sert pour signaler les téléchargements suspects.
- Codex n'est pas la seule cible. Selon The Register, les chercheurs ont trouvé une page équivalente imitant Claude Code d'Anthropic, partageant la même infrastructure. Le rapport de Cato décrit un écosystème qui emprunte l'image des outils d'IA pour désamorcer la méfiance.
- Sur l'identité du maliciel, la prudence s'impose : Cato constate un fort recouvrement avec le mode de LIVRAISON d'un voleur de données connu sous le nom d'AMOS, et parle d'une cohérence avec son activité de livraison. À aucun moment le rapport ne conclut que le maliciel EST AMOS.
Pourquoi ça compte
Le nom du rapport résume l'affaire : la confiance est devenue la charge utile. Ce qui rassure ici est authentique, le moteur de recherche, l'hébergeur de la page, le nom de l'outil, et c'est justement ce qui désarme. Les serveurs qui livrent le contenu malveillant, eux, appartiennent bien aux attaquants. Pour un développeur, la leçon est directe : une publicité en tête des résultats n'est pas un gage de légitimité, et l'apparence d'une page ne dit rien de ce qu'on vous demande d'exécuter.
Citation
« Aucune étape prise isolément n'expose l'attaque de façon fiable. La détection dépend d'une mise en relation entre la provenance de la recherche, le contenu intégré, l'exécution dans le Terminal et l'activité réseau qui suit. » Cato Networks, rapport du 24 août 2026 (traduit de l'anglais)
Action concrète
Une nuance s'impose, car des installations parfaitement légitimes passent par une commande collée dans le Terminal, à commencer par Homebrew. Le danger n'est donc pas le geste, c'est la PROVENANCE de la commande. Avant de coller quoi que ce soit, vérifiez que l'adresse dans votre barre est bien le domaine officiel de l'éditeur, atteint en le tapant vous-même ou depuis son dépôt de code, jamais depuis un résultat de recherche commandité.
Repères datés
- 24 août 2026 - Publication du rapport de Cato Networks, qui décrit la chaîne complète et signale une nouvelle page leurre réutilisant la même infrastructure.
- 25 août 2026 - Reprise par The Register, qui rapporte fidèlement la réserve de Cato sur l'identité du maliciel.
Fondée sur la source originale
Sources
- Cato Networks (Cato CTRL), « When Trust Becomes the Payload in a Fake Codex ClickFix Campaign », Jakub Osmani et Dr Guy Waizel, 24 août 2026 : Rapport lu à la source le 25 août 2026, sections d'analyse et indicateurs compris.
- Relais média : The Register → · Lire en français
🔧 Outils mentionnés