Хакеры злоупотребляют легитимными перенаправлениями результатов поиска Bing, размещёнными как URL для перехода в рекламе поиска Google, чтобы заманивать пользователей на поддельные установщики Claude, которые доставляют атаки ClickFix. Исследователи безопасности из Push Security назвали эту технику «Adception». Она, похоже, призвана обходить проверки безопасности рекламы: в качестве адреса объявления используется доверенный домен Bing, а затем жертв перенаправляют через взломанный сайт на вредоносную страницу загрузки.
Кампания была обнаружена после того, как исследователи выявили вредоносную рекламу Google, нацеленную на пользователей, искавших «claude mac». В отличие от типичного вредоносного рекламного контента, спонсорский результат показывал легитимный домен bing.com, из-за чего выглядел менее подозрительно. При нажатии объявление проходило через перенаправление Google, затем через конечную точку отслеживания переходов Bing, которая отправляла браузер на взломанный сайт WordPress, принадлежащий южноамериканскому ритейлеру. Оттуда посетителей направляли на claude-desk-code[.]com — поддельную страницу загрузки Claude, созданную, чтобы обманом заставить пользователей macOS выполнить вредоносные команды.
Атака использует многоуровневую маскировку, чтобы скрыть полезную нагрузку. Взломанный сайт WordPress проверяет наличие реферера Bing и определённые заголовки браузера, а поддельная страница Claude с помощью JavaScript убеждается, что посетители пришли из Google или Bing. Прямые заходы отправляются на страницу ошибки 404, что затрудняет анализ автоматическими сканерами.
На странице показана легитимная команда установки Anthropic, однако кнопка копирования помещает в буфер обмена вредоносную команду. Она декодирует URL в формате Base64, ведущий на lake-90[.]com, загружает файл .dat и передаёт его напрямую в zsh для выполнения. Конечная полезная нагрузка неизвестна. Push Security связала с этим набором ClickFix и несколько других доменов, которые отслеживает под названием Ac Sig.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing