Злоумышленники подменяли команду установки Claude для macOS

9 октября 2026 года вредоносная рекламная кампания нацелилась на пользователей, искавших Claude в Google. Финальная страница имитировала загрузку Claude для macOS. Команда установки запускала скрипт с lake-90.com от имени пользовательской учётной записи, однако конкретный вредоносный код или конечную полезную нагрузку подтвердить не удалось.

В поисковом объявлении Google в качестве видимого домена назначения указывался bing.com. Перенаправления с отслеживанием переходов через Google и Bing скрывали фактический адрес. Перенаправление Bing кодировало целевой адрес в параметре u и выполнялось через JavaScript, после чего браузер переходил на следующий этап с реферером Bing.

Цепочка перенаправлений вела на скомпрометированный сайт WordPress, индексируемый поисковыми системами. Он выдавал себя за страницу с информацией о компании легитимного ритейлера. Сервер перенаправлял посетителей с кодом 302, если запрос содержал реферер Bing и определённые заголовки браузера. Трафик, не прошедший эти проверки, не получал доступа к конечному сайту. На поддельном домене Claude анализировали значение document.referrer: посетителей без реферера Google или Bing перенаправляли на /404.html. Эти механизмы управления трафиком были нацелены на обход модераторов рекламы, автоматических сканеров, прямого анализа адресов и посторонних посетителей.

На странице отображались вариант загрузки для macOS и команда установки, похожая на легитимную команду Anthropic. Команда, показанная пользователю, отличалась от команды, помещённой в буфер обмена. При запуске в терминале создавалось впечатление, что загружается claude.ai/install.sh. Однако команда декодировала скрытый адрес и передавала скрипт, размещённый на lake-90.com, непосредственно в zsh.

Использование легитимной инфраструктуры перенаправлений, маскировки по заголовку реферера, подмены содержимого буфера обмена и удалённого выполнения командной строки снижает эффективность блокировки по репутации доменов и прямого анализа в песочнице. Связанные с кампанией домены ассоциировали с предположительно существующей цепочкой инструментов AcSig. Она использует общие структуры команд macOS, шаблоны адресов полезной нагрузки и код всплывающих окон установки. По оценке авторов отчёта, это может указывать на повторное использование операций с возможностью быстро менять домены.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.