Поддельная страница Claude для macOS подменяла команду в буфере обмена

Кампания была нацелена на пользователей, которые искали в Google «claude mac» и видели спонсорское объявление, указывающее на Bing как конечную точку. Ссылка для отслеживания кликов Bing bing.com/ck/a содержала следующий адрес в закодированном виде в параметре u. Для перенаправления браузера использовалась страница на JavaScript: она возвращала код HTTP 200, а не 302, и передавала реферер Bing. Конечной точкой стала проиндексированная страница «О нас» на скомпрометированном сайте WordPress южноамериканского ритейлера гомеопатических средств.

Скомпрометированный сайт перенаправлял посетителей только при наличии реферера Bing и определённых заголовков браузера. На поддельной странице загрузки Claude для macOS работала дополнительная проверка на JavaScript: если значение document.referrer не содержало Google или Bing, посетителя перенаправляли на /404.html. При этом страница сайта также предоставляла вредоносный контент посетителям, пришедшим из Bing.

Страница имитировала загрузку Claude и использовала подсказку в стиле InstallFix/ClickFix. На ней отображалась легитимная команда установки Anthropic curl -fsSL claude.ai/install.sh | bash, но кнопка «Копировать» помещала в буфер обмена другую команду. В отчёте это поведение связывается с криминальным инструментарием ClickFix, отслеживаемым как AcSig. Связанные домены использовали тот же шаблон команды для macOS, структуру URL полезной нагрузки и код модального окна установки.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.