Hamis Claude-telepítők csalhatnak Mac-felhasználókat hirdetésekkel

A támadás a »Claude Mac« Google-keresésre megjelenő szponzorált találattal kezdődik, amelynek célcíme bing.com-nak látszik. A kattintás után a Google hirdetési rendszere, majd a Bing átirányító szolgáltatása egy dél-amerikai kiskereskedő feltört WordPress-oldalára vezeti a látogatót, onnan pedig a claude-desk-code[.]com domainen működő hamis Claude-letöltőoldalra.

A hamis oldal macOS-telepítési parancsot mutat, amely a kutatók szerint látszólag az Anthropictól származik. A Másolás gomb azonban egy másik parancsot helyez a vágólapra, amely Base64-kódolással rejti el a támadó által üzemeltetett weboldal címét. A terminálban futtatva a parancs először a Claude hivatalos weboldaláról történő letöltésről ír üzenetet, majd letölt egy távoli szkriptet, és azt közvetlenül a Mac Z shelljében futtatja. A kutatók szerint a feltört kiskereskedő oldala és a hamis Claude-oldal is ellenőrzi a látogató érkezési forrását, közvetlen megnyitás esetén pedig 404-es hibaoldal jelenik meg.

A módszert a Push Security az InstallFix nevű, a ClickFix technikára épülő változatként írja le, a kapcsolódó weboldalakat pedig AcSig néven követi nyomon. A cikk szerint a letöltött szkript további károkat is okozhat, például információt lophat, fájlokat módosíthat vagy további szoftvert telepíthet. A kutatók publikált megállapításai nem azonosítják a végső payloadot, és nem határozzák meg, mit tesz a szkript a futtatás után.