Los hackers utilizan redirecciones legítimas de resultados de búsqueda de Bing en anuncios de búsqueda de Google para dirigir a los usuarios a instaladores falsos de Claude que distribuyen ataques ClickFix, según un informe de los investigadores de seguridad de Push Security. Los investigadores llaman a la técnica «Adception».
La campaña salió a la luz cuando Push Security detectó un anuncio malicioso de Google dirigido a búsquedas de «claude mac». El anuncio pasó por la redirección publicitaria de Google y el punto de seguimiento de clics de Bing, y después envió a los visitantes a un sitio WordPress comprometido perteneciente a un minorista sudamericano. El sitio los redirigió a una página falsa de descarga de Claude dirigida a usuarios de macOS.
Los atacantes usan comprobaciones tanto en el sitio comprometido como en la página falsa para filtrar visitantes. Los sitios verifican si el referente es Bing, comprueban encabezados del navegador o confirman que los visitantes llegaron desde Google o Bing. Los accesos directos, en cambio, terminan en una página 404, lo que dificulta que los escáneres de seguridad analicen la carga maliciosa.
La página falsa muestra el comando legítimo de instalación de Anthropic, pero su botón para copiar coloca otro comando en el portapapeles. Ese comando decodifica una URL codificada en Base64, descarga con curl un archivo .dat desde un servidor controlado por los atacantes y envía su contenido al shell Z de macOS (zsh) para ejecutarlo. La carga final sigue sin conocerse, por lo que no está claro qué malware, si lo hay, instala el ataque. Push Security afirma que encontró varios dominios relacionados que usan el mismo conjunto de herramientas ClickFix, al que la empresa sigue internamente como AcSig.
Comentarios
0Aún no hay comentarios. Escribe el primero.