Hackare använder legitima Bing-omdirigeringar från sökresultat i Google-sökannonser för att leda användare till falska Claude-installationsprogram med ClickFix-attacker, enligt en rapport från säkerhetsforskarna på Push Security. Forskarna kallar metoden ”Adception”.
Kampanjen upptäcktes när Push Security hittade en skadlig Google-annons riktad mot sökningar efter ”claude mac”. Annonsen gick via Googles annonsomdirigering och Bings spårningsadress för klick, och skickade sedan besökarna till en hackad WordPress-webbplats som tillhör en sydamerikansk återförsäljare. Webbplatsen skickade dem vidare till en falsk Claude-nedladdningssida riktad mot macOS-användare.
Angriparna använder kontroller på både den hackade webbplatsen och den falska sidan för att filtrera besökare. Webbplatserna kontrollerar om besökaren kommer från Bing, granskar webbläsarhuvuden eller verifierar att besökaren kom via Google eller Bing. Direktbesök leder i stället till en 404-sida, vilket gör det svårare för säkerhetsskannrar att granska nyttolasten.
Den falska sidan visar Anthropic:s legitima installationskommando, men kopieringsknappen lägger ett annat kommando i urklippet. Kommandot avkodar en Base64-kodad URL, hämtar en .dat-fil från en server som angriparna kontrollerar med curl och skickar innehållet till macOS Z shell (zsh) för körning. Den slutliga nyttolasten är fortfarande okänd, så det är oklart vilken skadlig kod, om någon, attacken installerar. Push Security uppger att de hittat flera relaterade domäner som använder samma ClickFix-verktyg, som företaget internt spårar under namnet AcSig.
Kommentarer
0Inga kommentarer ännu. Skriv den första.