Siber saldırganlar, Google arama reklamları Bing’in güvenilir yönlendirme altyapısını araya getirerek macOS kullanıcılarını sahte Claude yükleyicilerine yönlendiriyor. Push Security araştırmacılarının “Adception” adını verdiği saldırı yöntemi, reklam güvenlik kontrollerini aşmak için meşru alan adlarını ele geçirilmiş WordPress sitelerini kullanıyor. Saldırının son aşamasında ise Claude’un resmi yükleme komutunu taklit eden sayfa üzerinden kullanıcıların panosuna zararlı komut yerleştirilerek ClickFix saldırısı gerçekleştiriliyor.
Saldırganlar Bing’in Güvenilir Yönlendirme Sistemini KullanıyorAdception adı verilen kampanya, geleneksel kötü amaçlı reklam saldırılarından farklı yönlendirme zinciriyle çalışıyor. Push Security araştırmacıları, “claude mac” araması yapan kullanıcıları hedefleyen Google reklamını inceleyerek saldırı yöntemini ortaya çıkardı. Reklamın hedef adresinde saldırganların kontrolündeki şüpheli alan adı yerine Microsoft’un Bing alan adının görünmesi, bağlantının ilk bakışta güvenilir algılanmasına zemin hazırlıyor.
Google aramalarında karşılaşılan sponsorlu reklamların, kullanıcıları sahte Claude indirme sayfasına yönlendirdiği tespit edildi.Kullanıcı reklama tıkladığında tarayıcı önce Google’ın reklam yönlendirme mekanizmasından geçiyor. Ardından Bing’in./ck/a adresindeki tıklama izleme uç noktası devreye girerek ziyaretçiyi Güney Amerika’daki perakende şirketine ait, saldırganlar tarafından ele geçirilmiş WordPress sitesine aktarıyor. site kullanıcıyı Claude’un masaüstü uygulamasını indirme izlenimi veren sahte sayfaya yönlendiriyor.
Saldırının temelinde, güvenilir görünen bağlantıların kötü amaçlı hedeflere geçiş için kullanılması yer alıyor. Bing’in tıklama yönlendirme sistemi, JavaScript aracılığıyla tarayıcıyı belirlenen hedefe gönderebildiğinden saldırganlar altyapıyı yönlendirme zincirinin parçası olarak kullanabiliyor. Böylece kullanıcı, reklamdan indirme sayfasına ulaşana kadar birden fazla alan adından geçmesine rağmen sürecin güvenilir hizmet üzerinden başladığını düşünebiliyor.
Adception kampanyası, zararlı indirme sayfasını her ziyaretçiye göstermiyor. Saldırganlar, güvenlik tarayıcılarının bağlantıyı doğrudan açan araştırmacıların gerçek saldırı içeriğine ulaşmasını zorlaştırmak için birden fazla kontrol katmanı kullanıyor.
Ele geçirilmiş WordPress sitesi, ziyaretçinin Bing üzerinden gelip gelmediğini belirli tarayıcı başlıklarını kontrol ediyor. Koşullar karşılandığında kullanıcı sonraki adrese yönlendiriliyor. Sahte Claude sayfası JavaScript aracılığıyla ziyaretçinin Google veya Bing üzerinden geldiğini doğrulamaya çalışıyor. Bağlantıyı doğrudan açan kullanıcılar ise saldırı içeriği yerine 404 hata sayfasıyla karşılaşabiliyor.
macOS için Claude kurulum adımları gibi görünen ClickFix istemi, kullanıcıları yanıltarak kötü amaçlı komutları çalıştırmaya yönlendiriyor.yöntem, siber güvenlik alanında cloaking olarak bilinen içerik gizleme tekniğinin örneğini oluşturuyor. Sistem, gerçek kullanıcıların belirli yönlendirme zincirinden geçmesini sağlarken otomatik analiz araçlarının aynı içeriği görüntülemesini engellemeyi amaçlıyor. Böylece kötü amaçlı reklam tespiti zararlı yazılım analizi süreçleri daha karmaşık hale geliyor.
Google reklamları üzerinden gerçekleştirilen tür saldırılar, kullanıcıların yalnızca reklamın görünen adresine veya arama sonuçlarındaki sıralamasına güvenmesinin yeterli olmadığını gösteriyor. Güvenilir alan adının yönlendirme zincirinde bulunması, zincirin sonundaki sayfanın güvenli olduğu anlamına gelmiyor.
Saldırının son aşamasında kullanıcı, Anthropic’in Claude uygulamasını indirmek için hazırlanmış izlenimi veren sayfaya ulaşıyor. Sayfa, macOS üzerinde Terminal aracılığıyla çalıştırılacak yükleme komutu gösteriyor. Görünen komut, Claude’un resmi adresindeki yükleme betiğini çalıştıran ifadeyi taklit ediyor:
curl fsSL https://claude.ai/install.sh | bash
Ancak sayfadaki kopyalama düğmesi, ekranda gösterilen komut yerine farklı komutu panoya yerleştiriyor. Kullanıcı komutu kopyalayıp macOS Terminal uygulamasına yapıştırdığında resmi yükleme işlemini başlattığını düşünebiliyor. Gerçekte ise saldırganların hazırladığı farklı betik çalıştırılabiliyor.
Zararlı komut, önce Claude’un Anthropic’in resmi internet sitesinden indirildiğini iddia eden mesaj görüntülüyor. Ardından Base64 kodlanmış adresi çözüyor saldırganların kontrolündeki lake-90[.] alan adına ulaşıyor. Komut, sunucudan.dat dosyasını curl aracılığıyla sessizce indiriyor dosyanın içeriğini doğrudan macOS’un Z kabuğu olan zsh üzerinden çalıştırıyor.
ClickFix saldırısı olarak tanımlanan yöntem, kullanıcının kendi cihazında komutu elle çalıştırmasını sağlamaya dayanıyor. Saldırganlar, güvenlik uyarılarıyla karşılaşmadan ilerlemek isteyen kullanıcıları sahte kurulum talimatlarına yönlendirerek teknik işlemi kullanıcının kendisine yaptırıyor. nedenle saldırı, yalnızca kötü amaçlı dosyanın indirilmesine değil, kullanıcı güveninin komut satırı alışkanlıklarının istismar edilmesine dayanıyor.
Push Security, kampanyada kullanılan son yükün ne yaptığını henüz belirleyemedi. Dolayısıyla saldırının sonunda belirli zararlı yazılımın kurulduğunu veya hangi verilerin hedef alındığını kesin biçimde söylemek için yeterli bilgi bulunmuyor. Araştırmacılar, aynı ClickFix araç setiyle bağlantılı olduğu değerlendirilen birden fazla alan adı tespit.
Şirketin kendi takibinde AcSig adıyla tanımladığı araç setiyle ilişkili alan adlarında benzer macOS yükleme komutları, aynı yapıya sahip yük adresleri birbirine benzeyen kurulum arayüzleri kullanılıyor. Ortak özellikler, kampanyanın tek sahte indirme sayfasından ibaret olmayabileceğini gösteriyor.
macOS kullanıcılarının Claude gibi yazılımları yüklerken indirme adresini doğrudan Anthropic’in resmi sitesinden doğrulaması, reklam bağlantıları üzerinden açılan sayfalardaki komutları kontrol etmesi gerekiyor. Özellikle internet sayfasındaki kopyalama düğmesinin ekranda gösterilen komuttan farklı içerik panoya yerleştirmesi, saldırının en kritik aşamasını oluşturuyor. Kullanıcılar kaynağını doğrulayamadıkları komutları Terminal üzerinden çalıştırmamalı; kurumsal ekipler reklam yönlendirmelerini, panoya yazılan komutları şüpheli kabuk işlemlerini güvenlik denetimlerine dahil etmeli.
