Kampania ClickFix podszywa się pod Claude na macOS i wykorzystuje reklamy Google oraz przekierowania Bing

Wprowadzenie do problemu / definicja

Eksperci ds. bezpieczeństwa opisali kampanię malvertisingową, w której przestępcy wykorzystują legalne mechanizmy reklamowe oraz łańcuchy przekierowań do dostarczenia fałszywego instalatora Claude dla systemu macOS. Celem operacji nie jest wyłącznie nakłonienie użytkownika do pobrania pliku, ale skłonienie go do samodzielnego uruchomienia złośliwego polecenia w terminalu.

Atak opiera się na technice ClickFix, czyli formie socjotechniki, w której interfejs strony internetowej instruuje ofiarę, jak wykonać pozornie standardową czynność administracyjną lub instalacyjną. W praktyce użytkownik uruchamia komendę, która pobiera i wykonuje kod kontrolowany przez operatorów kampanii.

W skrócie

Kampania rozpoczyna się od sponsorowanego wyniku wyszukiwania powiązanego z hasłami dotyczącymi Claude na macOS. Reklama wygląda wiarygodnie, ponieważ wykorzystuje zaufany kontekst wyszukiwarki i nie kieruje bezpośrednio do jawnie podejrzanej domeny.

Po kliknięciu użytkownik przechodzi przez kilka etapów przekierowań, w tym przez skompromitowaną witrynę WordPress, aż trafia na fałszywą stronę pobierania. Najbardziej niebezpieczny element polega na tym, że widoczna na stronie komenda różni się od tej, która faktycznie trafia do schowka po użyciu przycisku kopiowania.

reklama sponsorowana imituje legalny wynik wyszukiwania,
łańcuch przekierowań ukrywa prawdziwy cel ataku,
fałszywa strona podszywa się pod instalator Claude,
przycisk kopiowania podstawia złośliwe polecenie,
uruchomienie komendy prowadzi do pobrania i wykonania zdalnego skryptu.

Kontekst / historia

Kampanie typu ClickFix zyskały popularność, ponieważ skutecznie obchodzą część tradycyjnych mechanizmów ochrony, które koncentrują się na reputacji plików, domen lub załączników. Zamiast dostarczać malware w prosty i łatwy do wykrycia sposób, atakujący przenoszą kluczowy moment kompromitacji na etap interakcji użytkownika z przeglądarką, terminalem i schowkiem systemowym.

W opisywanym przypadku szczególnie istotne jest użycie zaufanych usług pośrednich. Atak nie prowadzi bezpośrednio do infrastruktury kontrolowanej przez cyberprzestępców, lecz wykorzystuje reklamy Google, mechanizmy śledzenia kliknięć Bing oraz przejętą legalną stronę internetową. Taka konstrukcja utrudnia zarówno analizę incydentu, jak i automatyczne blokowanie zagrożenia na podstawie samego adresu docelowego.

Badacze określili tę metodę mianem „Adception”, wskazując na nadużycie jednego ekosystemu reklamowego i wyszukiwarkowego do ukrycia finalnego etapu dostarczenia ładunku. To kolejny przykład, że współczesny malvertising coraz częściej opiera się na złożonych, wieloetapowych ścieżkach infekcji.

Analiza techniczna

Techniczny przebieg kampanii można podzielić na kilka faz. Najpierw użytkownik wyszukuje frazę związaną z instalacją Claude lub narzędziami Anthropic na macOS. W odpowiedzi otrzymuje sponsorowany wynik, który sprawia wrażenie autentycznego i nie budzi podejrzeń na pierwszy rzut oka.

Po kliknięciu ruch przechodzi przez infrastrukturę reklamową oraz mechanizm przekierowujący służący do śledzenia kliknięć. Następnie przeglądarka trafia na legalną, lecz skompromitowaną witrynę opartą na WordPressie. Ten etap pośredni pełni ważną funkcję maskującą, ponieważ pozwala ukryć faktyczne przeznaczenie ruchu i utrudnia analizę opartą wyłącznie na prostym śledzeniu domen.

Na przejętej stronie wdrożono logikę filtrowania ruchu. Skrypty analizują między innymi referrer i wybrane cechy żądania, aby odróżnić prawdziwe ofiary od przypadkowych odwiedzających, badaczy czy automatycznych skanerów. Jeżeli warunki nie są spełnione, użytkownik może zobaczyć nieszkodliwą treść, błąd lub stronę pozorną.

Końcowa witryna podszywa się pod legalną stronę pobierania Claude. Interfejs wyświetla instrukcje przypominające standardową instalację narzędzia deweloperskiego w terminalu. Kluczowe oszustwo polega jednak na rozbieżności między komendą widoczną na ekranie a komendą kopiowaną do schowka. Użytkownik ufa temu, co widzi, ale po wklejeniu i uruchomieniu wykonuje inny ciąg poleceń.

Złośliwa komenda może najpierw wyświetlać komunikat uwiarygadniający proces instalacji, a następnie dekodować ukryty adres, pobierać zewnętrzny zasób przy użyciu narzędzia wiersza poleceń i przekazywać dane bezpośrednio do powłoki. Taki model znacząco utrudnia detekcję, ponieważ nie wymaga klasycznego pobrania pliku wykonywalnego w pierwszym etapie i wykorzystuje zachowanie użytkownika jako element łańcucha ataku.

Konsekwencje / ryzyko

Najpoważniejsze ryzyko dotyczy uruchomienia dowolnego kodu na stacji roboczej ofiary z uprawnieniami bieżącej sesji. To otwiera drogę do instalacji infostealerów, backdoorów, narzędzi do przejmowania sesji przeglądarkowych lub kolejnych modułów złośliwego oprogramowania.

Kampania jest szczególnie groźna dla użytkowników macOS i środowisk deweloperskich, gdzie instalacje wykonywane z użyciem jednolinijkowych komend terminalowych są często uznawane za normalną praktykę. W organizacjach skutkiem może być kradzież danych uwierzytelniających, tokenów sesyjnych, dostępów do usług SaaS oraz późniejszy ruch boczny po kompromitacji tożsamości użytkownika.

Dodatkowym problemem jest wysoka wiarygodność całego scenariusza. Wykorzystanie zaufanych usług pośrednich, legalnej przejętej witryny oraz mechanizmów cloakingu sprawia, że zarówno użytkownik, jak i część rozwiązań ochronnych może zbyt późno rozpoznać faktyczne zagrożenie.

Rekomendacje

Organizacje powinny rozszerzyć ochronę poza klasyczne mechanizmy filtrowania wiadomości i reputacji domen. W tego typu kampaniach kluczowe znaczenie ma obserwacja zachowań użytkownika w przeglądarce, analiza operacji schowka oraz wykrywanie prób uruchamiania poleceń powłoki pochodzących z treści kopiowanych ze stron WWW.

W praktyce warto wdrożyć polityki ograniczające wykonywanie schematów typu pobierz-i-wykonaj bezpośrednio w powłoce. Istotne jest także dopuszczanie instalacji oprogramowania wyłącznie z zatwierdzonych źródeł i oficjalnych kanałów dystrybucji zweryfikowanych przez dział bezpieczeństwa.

monitorowanie nietypowych łańcuchów przekierowań HTTP i HTTPS,
alertowanie na użycie terminala do pobierania i wykonywania zdalnych skryptów,
inspekcja telemetrii z przeglądarki, schowka i powłoki systemowej,
blokowanie stron podszywających się pod popularne narzędzia AI i aplikacje deweloperskie,
szkolenia użytkowników dotyczące ryzyka kopiowania komend z internetu,
szybkie blokowanie domen pośredniczących i końcowych wykorzystywanych w kampanii.

W przypadku podejrzenia kompromitacji należy niezwłocznie odizolować host, zabezpieczyć artefakty z historii przeglądarki i terminala, przeanalizować możliwe ślady aktywności w schowku, zresetować aktywne sesje oraz wymusić zmianę haseł i ponowne uwierzytelnienie do usług chmurowych.

Podsumowanie

Opisana kampania pokazuje, że nowoczesny malvertising nie polega już wyłącznie na kierowaniu użytkownika do fałszywej strony. Coraz częściej obejmuje wieloetapowy łańcuch przekierowań, cloaking, przejęte legalne serwisy i manipulację interfejsem w taki sposób, aby ofiara samodzielnie wykonała złośliwe działanie.

Najgroźniejszym elementem tej operacji jest nie sam fałszywy instalator, ale podmiana treści kopiowanej do schowka i uruchamianej lokalnie w terminalu. Dla zespołów bezpieczeństwa oznacza to konieczność większego nacisku na ochronę przeglądarki, kontrolę wykonywania poleceń oraz edukację użytkowników korzystających z narzędzi AI i środowisk terminalowych.