Una versión falsa de Claude pone en riesgo a usuarios de Mac

Una técnica de ciberataque llamada Adception combina anuncios maliciosos y redirecciones para engañar a usuarios de macOS que buscan descargar la aplicación Claude.

Cibercriminales han utilizado anuncios de Google que mostraban el dominio de Bing en una técnica denominada 'Adception' para llevar a usuarios de Mac a una página falsa y engañarlos para que descarguen instaladores falsos de Claude. La firma de seguridad Push Security ha publicado una investigación sobre la detección de esta nueva técnica de malvertising, en la que los atacantes combinan anuncios maliciosos, redirecciones mediante dominios de confianza y señuelos de ingeniería social.

Push Security descubrió la campaña después de que sus investigadores detectaran un anuncio malicioso de Google que aparecía a usuarios que buscaban el término "claude mac". La trampa se basó en mostrar un resultado de búsqueda promocionado en el que aparecía el dominio bing.com, lo que hacía que al usuario le pareciese que estaba frente a un anuncio legítimo.

Redirecciones múltiples hacia la página falsa

Al hacer clic en el anuncio, la víctima atraviesa una serie de redirecciones que pasan por Google, el sistema de seguimiento de clics de Bing y un sitio de WordPress vulnerado de un comercio sudamericano, con el objetivo final de que el usuario termine en una página falsa diseñada minuciosamente para hacer creer al usuario de macOS que el instalador es legítimo.

La página falsa muestra un error si alguien intenta acceder directamente, por lo que solo funciona si el usuario llega desde Google o Bing, lo que dificulta su detección. Esta característica la hace especialmente peligrosa, ya que evade mecanismos de ciberseguridad tradicionales.

El comando oculto en el Terminal

El destino final ofrece instalar la aplicación mediante un comando en el Terminal. Al pulsar sobre el botón de copiar, el usuario desconoce que está a punto de pegar un comando malicioso distinto al que ve en pantalla. La página muestra un comando de instalación legítimo de Anthropic, 'curl -fsSL https://claude.ai/install.sh | bash', pero el comando que realmente se ejecuta es malicioso.

Por el momento, Push Security indica que no ha podido identificar el tipo exacto de malware que se instala tras caer en el engaño de esta página falsa, aunque ha identificado varios dominios asociados con ClickFix, una técnica de ciberataque que se basa en que las víctimas ejecuten ellas mismas código malicioso en sus equipos.

Precedentes de ataques similares

En septiembre se denunció un ataque similar en el que se dirigía a usuarios de Mac a una página falsa con un código que tenían que pegar en el Terminal. En aquel caso, el ataque se originó en anuncios que aparecieron en la red social Reddit, aunque también se dirigía a usuarios de Windows de forma simultánea.