Bilgisayar korsanları, sahte Claude yükleyicilerini yaymak için Google reklamlarında Bing yönlendirmelerini kullanıyor

Push Security güvenlik araştırmacılarının raporuna göre bilgisayar korsanları, ClickFix saldırıları içeren sahte Claude yükleyicilerine kullanıcıları yönlendirmek için Google arama reklamlarında Bing’in meşru arama sonucu yönlendirmelerini kullanıyor. Araştırmacılar bu tekniğe “Adception” adını veriyor.

Kampanya, Push Security’nin “claude mac” aramalarını hedefleyen kötü amaçlı bir Google reklamını tespit etmesiyle ortaya çıktı. Reklam, Google’ın reklam yönlendirmesinden ve Bing’in tıklama izleme uç noktasından geçtikten sonra ziyaretçileri Güney Amerikalı bir perakendeciye ait, ele geçirilmiş bir WordPress sitesine gönderdi. Bu site de onları macOS kullanıcılarını hedefleyen sahte bir Claude indirme sayfasına yönlendirdi.

Saldırganlar, ziyaretçileri süzmek için hem ele geçirilmiş sitede hem de sahte sayfada kontroller kullanıyor. Siteler Bing yönlendiren bilgisini, tarayıcı üstbilgilerini veya ziyaretçilerin Google ya da Bing üzerinden geldiğine dair işaretleri kontrol ediyor. Doğrudan erişim girişimleri ise 404 sayfasına yönlendiriliyor; bu da güvenlik tarayıcılarının yükü incelemesini zorlaştırıyor.

Sahte sayfa, Anthropic’in meşru yükleme komutunu gösteriyor ancak kopyalama düğmesi panoya farklı bir komut yerleştiriyor. Bu komut, Base64 ile kodlanmış bir URL’yi çözüyor, curl ile saldırganın kontrolündeki bir sunucudan .dat dosyası indiriyor ve dosya içeriğini çalıştırılmak üzere macOS Z kabuğuna (zsh) aktarıyor. Son yükün ne olduğu bilinmiyor; dolayısıyla saldırının herhangi bir kötü amaçlı yazılım yükleyip yüklemediği belirsiz. Push Security, şirket içinde AcSig olarak izlediği aynı ClickFix araç setini kullanan birkaç ilişkili alan adı bulduğunu söylüyor.