Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Nowa kampania malvertisingowa pokazuje, że cyberprzestępcy coraz częściej nadużywają nie tylko reklam w wyszukiwarkach, ale także funkcji współdzielenia treści w popularnych platformach AI. W opisywanym scenariuszu sponsorowane wyniki wyszukiwania Google oraz publicznie dostępne udostępnione rozmowy w Claude były wykorzystywane do nakłaniania użytkowników macOS do uruchamiania złośliwych poleceń w Terminalu.
To szczególnie niebezpieczny model ataku, ponieważ ofiara może widzieć prawidłową i rozpoznawalną domenę, a mimo to trafić na treść prowadzącą bezpośrednio do infekcji. W praktyce zagrożenie nie musi być osadzone na fałszywej stronie — wystarczy złośliwa instrukcja umieszczona w pozornie wiarygodnym miejscu.
W skrócie
- Kampania była wymierzona w użytkowników szukających sposobu pobrania Claude na Maca.
- Sponsorowane reklamy prowadziły do legalnej domeny, ale zawierały odnośniki do udostępnionych czatów z fałszywymi instrukcjami instalacji.
- Ofiary były zachęcane do wklejenia polecenia do Terminala, co uruchamiało wieloetapowy łańcuch infekcji.
- Malware działał częściowo w pamięci, profilował ofiarę i pobierał kolejne komponenty.
- Końcowe ładunki były powiązane z kradzieżą danych z przeglądarek, plików cookie i pęku kluczy macOS.
Kontekst / historia
Malvertising od lat pozostaje skutecznym kanałem dystrybucji złośliwego oprogramowania, szczególnie wtedy, gdy użytkownik aktywnie wyszukuje popularne aplikacje lub narzędzia. Tradycyjnie ataki tego typu opierały się na fałszywych stronach łudząco podobnych do legalnych serwisów producentów.
W tym przypadku przestępcy poszli o krok dalej. Zamiast budować własną infrastrukturę phishingową, wykorzystali legalną platformę i jej funkcję udostępniania rozmów. Dzięki temu użytkownik, który sprawdza wyłącznie domenę lub ufa reklamie sponsorowanej, może błędnie założyć, że cały proces pobrania jest bezpieczny.
Taka zmiana taktyki ma duże znaczenie operacyjne. Coraz częściej to nie sama domena jest nośnikiem zagrożenia, lecz treść osadzona w zaufanej usłudze chmurowej. To wpisuje się w szerszy trend nadużywania legalnych platform do prowadzenia kampanii socjotechnicznych.
Analiza techniczna
Zaobserwowany scenariusz rozpoczynał się od kliknięcia sponsorowanego wyniku wyszukiwania dotyczącego instalacji Claude na macOS. Reklama prowadziła do udostępnionego czatu zawierającego instrukcję „instalacji”, która nakazywała otworzyć Terminal i uruchomić przygotowane polecenie. Z perspektywy atakującego to skuteczna metoda obejścia części zabezpieczeń, ponieważ użytkownik sam inicjuje wykonanie komendy w zaufanym narzędziu systemowym.
Łańcuch infekcji obejmował zakodowane polecenia pobierające pierwszy etap ładunku ze zewnętrznej infrastruktury. Następnie uruchamiany był skompresowany skrypt shell, działający głównie w pamięci operacyjnej. Takie podejście ogranicza liczbę artefaktów pozostawianych na dysku i utrudnia wykrywanie przez rozwiązania opierające się głównie na sygnaturach plików.
W jednym z wariantów serwer dostarczał przy każdym żądaniu odmiennie zaciemnioną wersję ładunku, co wskazuje na wykorzystanie polymorphic delivery. Oznacza to, że kod może się dynamicznie zmieniać bez modyfikacji funkcji operacyjnej, co utrudnia wykrywanie na podstawie hashy i prostą korelację incydentów między ofiarami.
Próbki zawierały również logikę profilowania systemu. Skrypt sprawdzał między innymi układ klawiatury, ustawienia regionalne, zewnętrzny adres IP, nazwę hosta oraz wersję systemu. W niektórych przypadkach dalsze działanie było pomijane na urządzeniach powiązanych z Rosją lub regionem WNP, co może sugerować geograficzne filtrowanie ofiar.
Kolejny etap wykorzystywał osascript, czyli natywny mechanizm skryptowy macOS, do uruchamiania dalszych instrukcji. Atak nie wymagał więc klasycznego instalatora ani typowego binarnego droppera. W jednym z wariantów końcowy payload był powiązany z rodziną infostealerów MacSync, zdolną do wykradania zapisanych poświadczeń z przeglądarek, sesyjnych plików cookie oraz danych z macOS Keychain.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takiej infekcji jest przejęcie dostępu do kont bez konieczności łamania haseł. Kradzież plików cookie i tokenów sesyjnych może umożliwić obejście części mechanizmów MFA, jeśli użytkownik ma już aktywną sesję. W praktyce oznacza to ryzyko przejęcia poczty, kont SaaS, repozytoriów kodu, paneli administracyjnych czy portfeli kryptowalutowych.
Ryzyko jest szczególnie wysokie w środowiskach firmowych, gdzie komputery macOS często mają dostęp do narzędzi deweloperskich, systemów CI/CD, sieci VPN i usług chmurowych. Jednorazowe uruchomienie polecenia z niezweryfikowanego źródła może doprowadzić do wycieku danych, utraty tajemnic organizacji lub dalszej eskalacji incydentu.
Dodatkowym problemem pozostaje trudność wykrywania. Wykorzystanie legalnych domen i natywnych narzędzi systemowych sprawia, że zarówno użytkownicy, jak i zespoły SOC mogą początkowo nie rozpoznać zagrożenia.
Rekomendacje
Organizacje powinny przyjąć zasadę, że wszelkie instrukcje wymagające ręcznego uruchamiania poleceń w Terminalu muszą być weryfikowane wyłącznie na podstawie oficjalnej dokumentacji producenta. Należy również ograniczyć zaufanie do reklam sponsorowanych w wyszukiwarkach, nawet jeśli wskazują na prawidłową domenę.
- blokować lub monitorować polecenia shell pobierające treści z Internetu bezpośrednio do interpretera,
- wzmacniać telemetrię EDR dla procesów takich jak Terminal, shell, curl, osascript oraz narzędzi kompresji i dekodowania,
- wykrywać łańcuchy wykonania typu shell → pobranie zewnętrznego skryptu → osascript,
- monitorować dostęp do danych przeglądarek i elementów Keychain,
- egzekwować zasadę najmniejszych uprawnień oraz separację dostępu do systemów administracyjnych,
- szkolić użytkowników, że legalna domena nie gwarantuje bezpieczeństwa treści,
- promować pobieranie aplikacji i narzędzi CLI wyłącznie z oficjalnych źródeł i zatwierdzonych repozytoriów.
W środowiskach o podwyższonym ryzyku warto rozważyć dodatkowe polityki ograniczające wykonywanie niepodpisanych skryptów oraz monitorowanie działań podejmowanych przez interpretery systemowe. Po podejrzeniu kompromitacji należy szybko resetować sesje i zmieniać poświadczenia, zwłaszcza dla kont przeglądarkowych, pocztowych i administracyjnych.
Podsumowanie
Opisana kampania pokazuje ewolucję malvertisingu w kierunku nadużywania legalnych platform i funkcji współdzielonych treści. Atakujący połączyli reklamę sponsorowaną, socjotechnikę oraz wieloetapowy malware działający głównie w pamięci, aby skutecznie infekować systemy macOS.
Najważniejszy wniosek jest prosty: nawet jeśli domena wygląda prawidłowo, sama treść instrukcji może być złośliwa. Dla zespołów bezpieczeństwa oznacza to konieczność monitorowania nie tylko źródła ruchu, lecz także kontekstu wykonania poleceń i zachowań użytkownika końcowego.
Źródła
- BleepingComputer — https://www.bleepingcomputer.com/news/security/hackers-abuse-google-ads-claudeai-chats-to-push-mac-malware/
- VirusTotal — https://www.virustotal.com/
- Anthropic Documentation — https://docs.anthropic.com/
- Google Ads Safety and Policies — https://support.google.com/google-ads/
- Apple Developer Documentation: osascript / AppleScript — https://developer.apple.com/