Wprowadzenie do problemu / definicja
Nowo opisana kampania malvertisingowa pokazuje, jak cyberprzestępcy łączą legalne mechanizmy reklamowe, przekierowania wyszukiwarek oraz socjotechnikę typu ClickFix, aby doprowadzić użytkownika do samodzielnego uruchomienia złośliwego kodu. Celem operacji jest podszycie się pod instalator narzędzia Claude i nakłonienie ofiary korzystającej z macOS do wklejenia polecenia do Terminala.
Nazwa „Adception” odnosi się do nadużycia zaufanych elementów łańcucha reklamowego i przekierowań, które sprawiają, że atak wygląda wiarygodnie zarówno dla użytkownika, jak i części mechanizmów ochronnych.
W skrócie
- Atak startuje od sponsorowanego wyniku wyszukiwania promującego rzekomo legalny instalator Claude.
- Po kliknięciu użytkownik przechodzi przez kilka etapów przekierowań z użyciem legalnych usług i przejętej witryny.
- Końcowa strona podszywa się pod instalator dla macOS i zachęca do użycia Terminala.
- Komenda kopiowana do schowka różni się od tej wyświetlanej na stronie.
- Efektem może być pobranie i uruchomienie złośliwego skryptu bez pełnej świadomości ofiary.
Kontekst / historia
Kampanie ClickFix od dłuższego czasu ewoluują z prostych fałszywych ostrzeżeń do bardziej dopracowanych scenariuszy podszywania się pod popularne aplikacje, narzędzia programistyczne i usługi związane ze sztuczną inteligencją. W tym przypadku atakujący wykorzystali rozpoznawalność marki Claude oraz nawyk użytkowników, którzy często wyszukują instalatory bezpośrednio w przeglądarce.
Istotną zmianą jest odejście od prostego modelu, w którym reklama kieruje ofiarę bezpośrednio na domenę kontrolowaną przez przestępców. Zamiast tego zastosowano wielowarstwowy łańcuch oparty na legalnych usługach pośredniczących i skompromitowanej stronie o prawidłowej reputacji. Taki schemat zwiększa wiarygodność kampanii i utrudnia jej wykrywanie.
Analiza techniczna
Łańcuch infekcji rozpoczyna się od reklamy w wyszukiwarce, która sprawia wrażenie legalnego wyniku prowadzącego do zaufanego źródła. Po kliknięciu ruch przechodzi przez infrastrukturę reklamową, a następnie przez endpoint śledzący kliknięcia powiązany z inną wyszukiwarką. To właśnie ten etap stanowi sedno techniki „Adception”, ponieważ po drodze pojawiają się domeny, które normalnie nie budzą podejrzeń.
Następnie użytkownik trafia na przejętą legalną witrynę. Strona ta nie przekierowuje każdego odwiedzającego w jednakowy sposób. Mechanizm może uwzględniać referrer, wybrane nagłówki HTTP i inne warunki, aby ograniczyć ekspozycję kampanii na analityków bezpieczeństwa, skanery oraz przypadkowy ruch. Takie cloakingowe podejście utrudnia odtworzenie pełnego przebiegu ataku.
Ostatni etap to fałszywa strona pobierania dla macOS, wizualnie przypominająca autoryzowany proces instalacji. Użytkownik widzi pozornie poprawne polecenie, ale funkcja kopiowania podstawia do schowka inną komendę. W praktyce ofiara uruchamia więc nie to, co widzi na ekranie, lecz ukryty ciąg poleceń przygotowany przez napastnika.
Podstawiona komenda realizuje klasyczny scenariusz pobrania i wykonania. Najpierw prezentuje komunikat, który ma potwierdzić rzekome pobieranie legalnego oprogramowania, następnie dekoduje ukryty adres zasobu, pobiera plik z infrastruktury atakującego i przekazuje go bezpośrednio do interpretera powłoki. Taki model utrudnia zauważenie właściwego payloadu i ogranicza liczbę oczywistych artefaktów zapisywanych lokalnie.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem jest uruchomienie niezweryfikowanego kodu w kontekście użytkownika. W zależności od dalszego ładunku może to prowadzić do instalacji infostealera, przejęcia sesji, wdrożenia backdoora, utrwalenia dostępu w systemie lub przygotowania gruntu pod kolejne etapy kompromitacji.
Z perspektywy organizacji zagrożenie jest szczególnie istotne, ponieważ uderza w moment wyszukiwania narzędzi roboczych, a więc w sytuację, w której użytkownik działa szybko i rutynowo. Kampania jest też wymierzona w macOS, co obala błędne przekonanie, że platforma ta jest naturalnie odporna na podobne scenariusze. Dodatkowo wykorzystanie legalnych usług pośredniczących oraz skompromitowanych stron utrudnia ochronę opartą wyłącznie na reputacji domen.
Problem pogłębia cloaking i selektywne przekierowania. Jeśli rozwiązanie bezpieczeństwa nie odtworzy właściwego referrera, nagłówków i sekwencji kliknięć, może w ogóle nie zobaczyć finalnej fazy infekcji. To zwiększa ryzyko przeoczenia kampanii przez narzędzia automatyczne.
Rekomendacje
Organizacje powinny ograniczyć możliwość uruchamiania poleceń kopiowanych z internetu, szczególnie gdy dotyczą one instalacji oprogramowania przez Terminal. W środowiskach macOS warto monitorować użycie powłok systemowych, wywołania narzędzi sieciowych oraz wzorce typu „pobierz i wykonaj” realizowane w jednym łańcuchu komend.
Zespoły bezpieczeństwa powinny korelować dane z przeglądarki i endpointów, aby wykrywać sytuacje, w których kliknięcie sponsorowanego wyniku kończy się uruchomieniem Terminala lub procesu powłoki. Należy także rozwijać scenariusze detekcji odporne na cloaking i wieloetapowe przekierowania.
- egzekwować pobieranie oprogramowania wyłącznie z oficjalnych kanałów producenta,
- edukować użytkowników, że sponsorowany wynik wyszukiwania nie gwarantuje bezpieczeństwa,
- blokować lub ograniczać wykonywanie nieautoryzowanych skryptów instalacyjnych,
- monitorować nietypowe użycie schowka i kopiowanie poleceń z podejrzanych stron,
- rozszerzyć filtrowanie sieciowe o analizę nowych domen i wielostopniowych redirectów.
Podsumowanie
Kampania „Adception” pokazuje, że współczesne ataki malvertisingowe coraz skuteczniej łączą reklamę, zaufane przekierowania, przejęte witryny i socjotechnikę w jeden spójny łańcuch infekcji. Atakujący nie muszą już polegać wyłącznie na oczywiście podejrzanych domenach, ponieważ wykorzystują legalne elementy ekosystemu internetowego do budowania pozorów autentyczności.
Dla obrońców kluczowy wniosek jest jednoznaczny: zaufana marka, znana domena i wiarygodnie wyglądające polecenie instalacyjne nie są gwarancją bezpieczeństwa. Skuteczna ochrona musi obejmować cały proces — od reklamy i przekierowań po uruchomienie komendy w systemie końcowym.
Źródła
- https://www.bleepingcomputer.com/news/security/hackers-abuse-google-ads-bing-redirects-to-push-claude-clickfix-attacks/
- https://pushsecurity.com/blog/adception-malvertising-another-search-engines-search-results
- https://pushsecurity.com/blog/analyzing-the-latest-ai-themed-malware-delivery-attacks
- https://docs.anthropic.com/en/docs/claude-code/getting-started
- https://www.hhs.gov/sites/default/files/clickfix-attacks-sector-alert-tlpclear.pdf