Eine Malvertising-Kampagne nutzt Google-Suchanzeigen, die die Adresse bing.com anzeigen, um Mac-Nutzer auf eine gefälschte Claude-Downloadseite zu lenken. Laut Bericht von BleepingComputer über Recherchen von Push Security bringt die Seite Besucher dazu, einen schädlichen Befehl in das Terminal einzufügen. Was dieser Befehl letztlich installiert, ist nicht geklärt.
Wie die Anzeige unentdeckt bleibt
Push Security stieß auf die Kampagne, nachdem die Forscher eine schädliche Google-Anzeige entdeckt hatten, die sich an Personen richtet, die nach „claude mac“ suchen. Die Berichte nennen nicht, wann das geschah.
Die Angreifer missbrauchen einen legitimen Click-Tracking-Endpunkt von Bing, bing.com/ck/a, als Ziel der Anzeige. Da die Anzeige eine Domain von bing.com zeigt und nicht eine, die die Angreifer kontrollieren, wirkt sie für Nutzer weniger verdächtig. Push Security nennt die Methode „Adception“.
Der dokumentierte Klickweg verläuft folgendermaßen:
- Der Nutzer klickt auf die Google-Anzeige und durchläuft die Weiterleitung von Google.
- Die Anfrage erreicht bing.com/ck/a, das per JavaScript den Browser weiterleitet.
- Der Browser landet auf einer legitimen, aber kompromittierten WordPress-Seite eines südamerikanischen Einzelhändlers. Die Quelle nennt den Händler nicht.
- Diese Seite schickt den Besucher weiter zu
claude-desk-code[.]com, der gefälschten Claude-Downloadseite.
Tarnung, um Prüfungen zu umgehen
Die Kette ist so aufgebaut, dass sie ihre Nutzlast nur den vorgesehenen Zielen zeigt. Laut Push prüft die kompromittierte WordPress-Seite vor der Weiterleitung, ob ein Bing-Referrer und bestimmte Browser-Header vorliegen. Die gefälschte Claude-Seite bestätigt dann per JavaScript, dass der Besucher von Google oder Bing kam. Wer die schädliche Domain direkt aufruft, sieht eine 404-Fehlerseite. Dadurch sind einfache Kontrollen und manche automatisierte Analysen weniger wahrscheinlich erfolgreich.
Ein legitimer Befehl auf dem Bildschirm, ein anderer in der Zwischenablage
Die gefälschte Seite imitiert eine Claude-Downloadseite für macOS. Sie zeigt den echten Installationsbefehl des Installers von Anthropic: curl -fsSL https://claude.ai/install.sh | bash.
Der Kopierbutton legt jedoch einen anderen Befehl in die Zwischenablage. Laut Push Security gibt der untergeschobene Befehl eine Meldung aus, dass Claude von der offiziellen Website von Anthropic heruntergeladen wird. Im Hintergrund dekodiert er eine Base64-kodierte URL, die auf lake-90[.]com verweist, lädt unbemerkt eine .dat-Datei mit curl herunter und leitet sie direkt an die Z-Shell (zsh) von macOS weiter.
Ein Opfer, das die Seite oder die Terminalausgabe betrachtet, sieht also die legitime Claude-URL, während ein anderes Skript läuft. Darin liegt der Kern eines ClickFix-Angriffs: Der Nutzer führt den schädlichen Schritt selbst aus, daher ist keine Softwareschwachstelle nötig.
Weitere Werkzeuge, unbekannte Nutzlast
Push Security identifizierte mehrere weitere Domains, die demselben ClickFix-Toolkit zuzuordnen sind. Intern verfolgt das Unternehmen es als AcSig. Diese Domains verwenden denselben macOS-Installationsbefehl, dieselbe Struktur der Payload-URLs und dieselbe Installer-Oberfläche. Die Quelle nennt diese Domains nicht.
Die endgültige Nutzlast ist unbekannt. Die Berichterstattung klärt nicht, welche Malware das heruntergeladene Skript gegebenenfalls installiert, und nennt weder eine Opferzahl noch eine Schweregradeinstufung. Stellungnahmen von Google, Microsoft, Anthropic oder dem kompromittierten Händler fehlen.
Was Leser tun können
Die Quelle enthält keine Hinweise des Herstellers. Aus der Funktionsweise lassen sich dennoch einige praktische Schritte ableiten:
- Kopieren Sie keine Befehle von einer Webseite ins Terminal, besonders nicht, wenn Sie über ein gesponsertes Suchergebnis dorthin gelangt sind.
- Vergleichen Sie den eingefügten Befehl mit dem, was die Seite angezeigt hat, bevor Sie Enter drücken. Beides kann sich unterscheiden.
- Laden Sie Software über die offizielle Domain des Herstellers herunter, die Sie selbst eingeben oder als Lesezeichen gespeichert haben, und nicht über eine Anzeige.
- Durchsuchen Sie Ihre Umgebung nach den gemeldeten Indikatoren:
claude-desk-code[.]comundlake-90[.]comsowie curl-Anfragen, die.dat-Dateien abrufen und an zsh weiterleiten.
