L'essentiel
Des attaquants détournent les redirections légitimes des résultats de recherche Bing comme URL de clic dans des annonces Google Search, afin de diriger les utilisateurs vers de faux installeurs de Claude qui déclenchent des attaques ClickFix. Les chercheurs de Push Security ont baptisé cette technique « Adception ».
L'objectif, selon le rapport, est d'échapper aux contrôles de sécurité publicitaires en affichant le domaine de confiance bing.com comme destination de l'annonce, avant une redirection via un site compromis vers la page de téléchargement malveillante.
Les détails
Le chemin de la redirection
La campagne a été repérée après la détection d'une annonce Google malveillante ciblant la requête « claude mac ». Contrairement aux campagnes classiques qui pointent vers des domaines contrôlés par l'attaquant, le résultat sponsorisé affichait le domaine légitime bing.com.
Au clic, l'annonce passe d'abord par la redirection publicitaire de Google, puis atteint le point de suivi de clic bing.com/ck/a, qui renvoie le navigateur vers un site WordPress légitime mais compromis appartenant à un détaillant sud-américain. Ce site redirige ensuite vers claude-desk-code[.]com, une fausse page de téléchargement de Claude conçue pour piéger les utilisateurs de macOS. Les redirections de suivi de clic de Bing utilisent JavaScript pour envoyer le visiteur vers sa destination, ce qui permet aux attaquants de faire passer le trafic comme provenant de Bing.
Deux couches de cloaking
Le site WordPress compromis vérifie la présence d'un référent Bing et d'en-têtes de navigateur spécifiques avant de rediriger. La fausse page Claude utilise elle aussi du JavaScript pour vérifier que le visiteur arrive bien de Google ou de Bing. Un accès direct à l'URL malveillante aboutit à une page d'erreur 404, ce qui complique l'analyse par les scanners de sécurité automatisés.
La commande substituée
La page finale imite de façon convaincante une page de téléchargement de Claude proposant un installeur macOS via une commande à saisir dans le Terminal. Elle affiche la commande d'installation légitime d'Anthropic, curl -fsSL https://claude.ai/install.sh | bash, mais le bouton de copie place une commande malveillante dans le presse-papiers.
Cette commande affiche d'abord un message prétendant télécharger Claude depuis le site officiel d'Anthropic, puis décode une URL encodée en Base64 pointant vers lake-90[.]com. Elle utilise ensuite curl pour télécharger silencieusement un fichier .dat depuis le serveur contrôlé par l'attaquant et injecte son contenu directement dans le shell macOS zsh pour exécution. La victime voit donc l'URL d'installation légitime à la fois sur la page et dans le terminal, alors qu'un script différent s'exécute.
La charge utile finale reste inconnue : on ignore quel malware, s'il existe, est installé. Push Security indique avoir identifié plusieurs domaines associés au même kit ClickFix, suivi en interne sous le nom AcSig, qui partagent une commande d'installation macOS identique, la même structure d'URL de charge utile et la même interface d'installeur.
Pourquoi c'est important
Pour une équipe qui outille ses développeurs, cette campagne rappelle qu'un domaine affiché dans une annonce ne prouve rien : ici, c'est bing.com qui apparaît, et le détournement se joue dans la chaîne de redirection, pas dans l'URL visible. Cela suggère que les filtres fondés sur la réputation du domaine de destination deviennent insuffisants face à ce type d'enchaînement.
Le point le plus actionnable concerne le presse-papiers. Le scénario repose sur un copier-coller depuis une page web vers un terminal : un geste courant chez les développeurs qui installent des outils en ligne de commande. À surveiller, donc, côté formation et côté outillage : vérifier ce qui est réellement collé avant exécution, et se méfier des pages d'installation atteintes via une annonce plutôt que via la documentation officielle de l'éditeur. Mon hypothèse est que ce type de substitution de commande se généralisera tant que les installateurs en une ligne resteront la norme.
Source
- Hackers abuse Google Ads, Bing redirects to push Claude ClickFix attacks · BleepingComputer