Angreifer nutzen Google-Suchanzeigen und legitime Bing-Weiterleitungen, um Mac-Nutzer in Claude-ClickFix-Angriffe zu locken. Die Kampagne führt Besucher auf eine gefälschte Download-Seite, die einen angezeigten Installationsbefehl heimlich durch einen schädlichen Befehl ersetzt.
Push Security entdeckte die Aktivitäten bei der Untersuchung einer Google-Anzeige, die sich an Personen richtete, die nach „claude mac“ suchten. Die Forscher bezeichneten die Technik als „Adception“, da sie die Weiterleitungsinfrastruktur einer Suchmaschine innerhalb des Werbesystems einer anderen Suchmaschine verwendet.
Die endgültige Schadlast ist weiterhin unbekannt. Die Forscher konnten daher nicht feststellen, welche Schadsoftware der Befehl letztendlich installiert, sofern überhaupt eine installiert wird.
Vertrauenswürdige Suchdomains verschleiern den Weg zu einem gefälschten Installationsprogramm
Die schädliche Anzeige zeigte bing.com als Zieladresse an. Dadurch sahen Nutzer eine vertraute Domain statt einer offensichtlich von Angreifern kontrollierten Adresse.
Ein Klick auf das gesponserte Suchergebnis löste jedoch eine Kette von Weiterleitungen aus. Die Besucher durchliefen zunächst die Werbeinfrastruktur von Google und erreichten anschließend Bings legitimen Endpunkt zur Klickverfolgung.
Von dort leitete Bing den Browser auf eine kompromittierte WordPress-Website eines südamerikanischen Einzelhändlers weiter. Diese Website leitete Besucher, die bestimmte Kriterien erfüllten, anschließend auf eine betrügerische Claude-Download-Seite um.
Die Technik scheint darauf ausgelegt zu sein, Sicherheitsprüfungen für Anzeigen zu umgehen, indem eine vertrauenswürdige Domain am Anfang der Weiterleitungskette platziert wird. Gleichzeitig dient die kompromittierte Website des Einzelhändlers als Zwischenstation vor dem schädlichen Ziel.
Cloaking-Prüfungen verbergen die Seite vor unerwünschten Besuchern
Die Angreifer verwenden außerdem zwei Filterebenen, um zu kontrollieren, wer das gefälschte Installationsprogramm zu sehen bekommt.
Zunächst prüft die kompromittierte WordPress-Website, ob Besucher über Bing gekommen sind und ob ihre Browser-Header bestimmte Bedingungen erfüllen. Nur Datenverkehr, der diese Anforderungen erfüllt, wird durch die Angriffskette weitergeleitet.
Anschließend verwendet die gefälschte Claude-Seite JavaScript, um zu überprüfen, ob Besucher von Google oder Bing kommen.
Personen, die die schädliche Adresse direkt aufrufen, landen stattdessen auf einer 404-Fehlerseite. Folglich könnte ein Sicherheitsscanner, der die Adresse außerhalb des vorgesehenen Weiterleitungswegs besucht, den Angriff übersehen.
Diese Prüfungen helfen dabei, die schädlichen Inhalte zu verbergen, während Nutzer, die der Anzeige folgen, weiterhin darauf zugreifen können.
Kopierschaltfläche ersetzt den angezeigten Befehl durch einen versteckten Schadcode-Befehl
Die gefälschte Download-Seite imitiert ein Claude-Installationsprogramm und fordert macOS-Nutzer auf, die Installation über das Terminal abzuschließen.
Obwohl die Seite einen legitimen Installationsbefehl von Anthropic anzeigt, kopiert ihre Schaltfläche einen anderen Befehl in die Zwischenablage. Nutzer, die den sichtbaren Anweisungen vertrauen, könnten daher einen Befehl einfügen und ausführen, den sie niemals ausführen wollten.
Der ausgetauschte Befehl gibt eine Meldung aus, die suggeriert, dass Claude von der offiziellen Website von Anthropic heruntergeladen wird. Hinter dieser beruhigenden Ausgabe entschlüsselt er jedoch eine codierte Adresse eines von Angreifern kontrollierten Servers.
Anschließend ruft er eine entfernte Datei ab und übergibt deren Inhalt direkt an die Z-Shell von macOS zur Ausführung.
Dadurch können sowohl die Webseite als auch die Terminal-Ausgabe Verweise auf die legitime Claude-Website anzeigen, während gleichzeitig ein davon unabhängiges Skript ausgeführt wird.
Verwandte Domains deuten auf ein gemeinsames ClickFix-Toolkit hin
Push Security identifizierte mehrere Domains, die mit demselben Toolkit in Verbindung stehen, das das Unternehmen intern unter der Bezeichnung AcSig verfolgt.
Diese Websites verwenden denselben macOS-Installationsbefehl, eine übereinstimmende URL-Struktur für die Schadlast und eine identische Installationsoberfläche. Diese Gemeinsamkeiten verbinden die beobachteten Seiten mit einem gemeinsamen Satz von Angriffskomponenten.
Die Claude-ClickFix-Angriffe beruhen darauf, Nutzer dazu zu bringen, selbst Befehle auszuführen. Die vertrauenswürdigen Suchdomains, die überzeugende Download-Seite und die irreführende Kopierschaltfläche unterstützen alle diese Täuschung.
Die Untersuchung hat die endgültige Schadlast jedoch nicht identifiziert. Behauptungen, dass diese spezielle Kampagne einen bestimmten Information Stealer oder andere Schadsoftware installiert, würden über die verfügbaren Erkenntnisse hinausgehen.
0 Kommentare zu „Claude-ClickFix-Angriffe missbrauchen Google Ads und Bing-Weiterleitungen“