Imagen de una página falsa de Claude de Anthropic. - PUSH SECURITY
Madrid, 12 Oct. (Portaltic/EP) -
Ciberdelincuentes han utilizado anuncios de Google que mostraban el dominio de Bing en una técnica denominada 'Adception' para llevar a los usuarios de Mac a una página falsa y engañarlos para que descarguen instaladores falsos de Claude.
La firma de seguridad Push Security ha publicado una investigación en su blog sobre la detección de una nueva técnica de 'malvertising' denominada 'Adception', en la que los cibercriminales combinan anuncios maliciosos, redirecciones mediante dominios de confianza y señuelos de ingeniería social para engañar a usuarios de macOS para que instalen, en este caso, una versión falsa de la 'app' del chatbot de Inteligencia Artificial (IA) Claude.
Push Security descubrió la campaña después de que sus investigadores detectaran un anuncio malicioso de Google que aparecía a los usuarios que buscaban el término de búsqueda "claude mac".
La trampa de este engaño se basó en usar un resultado de búsqueda promocionado en el que se podía leer el dominio bing.com, lo que hacía que al usuario le pareciese que estaba frente a un anuncio legítimo y que a continuación hiciese clic para pasar a la siguiente fase del engaño de 'Adception'.
Según recoge la firma de seguridad, al hacer clic en el anuncio, la víctima atraviesa una serie de redirecciones, que pasan por Google, el sistema de seguimiento de clics de Bing y un sitio de WordPress vulnerado de un comercio sudamericano, con el objetivo último de que el usuario acabe en una página falsa diseñada minuciosamente para hacer creer al usuario de macOS que el instalador es legítimo.
Además, esa página muestra un error si alguien intenta acceder directamente, por lo que solo funciona si el usuario llega desde Google o Bing, lo que dificulta detectarla.
El destino final ofrece instalar la 'app' mediante un comando en el Terminal. Al pulsar sobre el botón de copiar, lo que el usuario no sabe es que está a punto de pegar un comando malicioso en el Terminal distinto al que ve en pantalla, con la guardia bajada al leer el comando de instalación legítimo de Anthropic 'curl -fsSL https://claude.ai/install.sh | bash'.
Por el momento, Push Security indica que no ha podido identificar el tipo de malware que se instala tras caer en el engaño de esta página falsa, aunque ha identificado varios dominios asociados con el mismo conjunto de herramientas de ataques ClickFix, una técnica que se basa en que las víctimas ejecuten ellas mismas código malicioso en sus equipos.
De hecho, en septiembre se denunció un ataque similar en el que se dirigía a usuarios de Mac a una página falsa con un código que tenían que pegar en el Terminal tras pulsar en una serie de anuncios que aparecieron en la red social Reddit, aunque en aquel caso el ataque se dirigió también a usuarios de Windows.