عاملان تهدید (Threat Actors) با سوءاستفاده از ریدایرکت‌های قانونی نتایج جستجوی Bing در تبلیغات گوگل (Google Ads)، کاربران را به صفحات جعلی نصب Claude هدایت می‌کنند تا حملات ClickFix را اجرا نمایند.
تکنیک Adception و زنجیره ریدایرکت
این روش که توسط پژوهشگران Push Security با نام “Adception” معرفی شده است، برای دور زدن سیستم‌های امنیتی تبلیغات طراحی شده است. در این مدل، مهاجمان از دامنه مورد اعتماد Bing به عنوان مقصد تبلیغ استفاده می‌کنند تا پس از تایید اولیه، قربانی را از طریق یک وب‌سایت هک شده به صفحه دانلود بدافزار هدایت کنند.
این کمپین زمانی شناسایی شد که تبلیغاتی در گوگل با هدف قرار دادن کاربرانی که عبارت “claude mac” را جستجو می‌کردند، رصد شد. برخلاف حملات معمول Malvertising که مستقیماً به دامنه‌های تحت کنترل مهاجم اشاره می‌کنند، در اینجا دامنه bing.com نمایش داده می‌شد که باعث کاهش سطح شک کاربر می‌گردد.
مراحل اجرای حمله
- مرحله اول: کاربر روی تبلیغ کلیک کرده و از طریق ریدایرکت گوگل به نقطه انتهایی (Endpoint) رهگیری کلیک Bing در مسیر
bing.com/ck/aهدایت می‌شود. - مرحله دوم: سرویس Bing کاربر را به یک وب‌سایت وردپرس (WordPress) هک شده متعلق به یک خرده‌فروش در آمریکای جنوبی منتقل می‌کند.
- مرحله سوم: وب‌سایت هک شده، کاربر را به دامنه جعلی
claude-desk-code[.]comهدایت می‌کند که مشابه صفحه دانلود Claude طراحی شده است.
مکانیسم ClickFix و دستکاری کلیپ‌بورد
در مقصد نهایی، کاربر با صفحه‌ای مواجه می‌شود که برای نصب Claude روی macOS، از او می‌خواهد یک دستور را در ترمینال (Terminal) وارد کند. در حالی که صفحه وب دستور قانونی شرکت Anthropic را نمایش می‌دهد (curl -fsSL https://claude.ai/install.sh | bash)، اما با کلیک بر روی دکمه کپی (Copy)، یک دستور مخرب در کلیپ‌بورد کاربر جایگزین می‌شود.
این دستور جایگزین ابتدا پیامی مبنی بر دانلود Claude از سایت رسمی نمایش می‌دهد، اما در واقع یک URL کدگذاری شده با Base64 را رمزگشایی کرده و به دامنه lake-90[.]com متصل می‌شود. سپس با استفاده از curl، یک فایل .dat را از سرور مهاجم دانلود کرده و محتوای آن را مستقیماً برای اجرا به zsh (پوسته پیش‌فرض macOS) می‌فرستد (Pipe می‌کند).
تکنیک‌های پنهان‌سازی (Cloaking)
برای جلوگیری از شناسایی توسط اسکنرهای امنیتی، مهاجمان از دو لایه Cloaking استفاده کرده‌اند:
- وب‌سایت وردپرس هک شده، ابتدا وجود Referrer مربوط به Bing و هدرهای خاص مرورگر را بررسی می‌کند.
- سایت جعلی Claude با استفاده از JavaScript تایید می‌کند که کاربر حتماً از طریق گوگل یا بینگ وارد شده باشد.
در صورتی که اسکنرهای خودکار یا کاربرانی سعی کنند مستقیماً به این سایت‌ها دسترسی پیدا کنند، با خطای 404 مواجه می‌شوند تا تحلیل حمله دشوارتر شود.
تحلیل نهایی
اگرچه نوع دقیق بدافزاری که در نهایت نصب می‌شود هنوز مشخص نیست، اما Push Security این حملات را به ابزاری به نام AcSig نسبت داده است که از کیت ClickFix استفاده می‌کند. این ابزار دارای ساختار یکسان در دستورات نصب macOS و رابط کاربری است و نشان‌دهنده یک کمپین سازمان‌یافته برای هدف قرار دادن کاربران ابزارهای هوش مصنوعی است.
