كشف باحثو الأمن السيبراني في Push Security عن حملة تصيد جديدة تُدعى «Adception»، تستغل إعلانات Google وخدمة إعادة التوجيه من Bing لخداع مستخدمي macOS لتثبيت إصدارات مزيفة من Claude. هذه الهجمات مصممة لتجاوز فحوصات الأمان الإعلانية، مما يجعل الإعلانات الخبيثة تبدو شرعية.
كيف تعمل هجمات «Adception»؟
تبدأ الهجمة بإعلان على Google يستهدف المستخدمين الذين يبحثون عن «claude mac». ما يميز هذا الإعلان هو عرضه لنطاق bing.com الشرعي كوجهة إعلانية، مما يجعله يبدو أقل شبهة. عند النقر، يمر الإعلان عبر نظام إعادة التوجيه الخاص بـ Google، ثم يصل إلى نقطة تتبع النقرات bing.com/ck/a الخاصة بـ Bing، والتي بدورها تقوم بإعادة توجيه المتصفح إلى موقع WordPress شرعي ولكنه مخترق تابع لمتاجر تجزئة في أمريكا الجنوبية.
يقوم موقع WordPress المخترق بإعادة توجيه الزائر بعد ذلك إلى claude-desk-code[.]com، وهي صفحة تنزيل Claude مزيفة. تستخدم الحملة عدة طبقات من الإخفاء لمنع ماسحات الأمان والزوار الذين يصلون إلى الروابط الخبيثة مباشرة من رؤية الحمولة الضارة. يتحقق موقع WordPress المخترق من وجود محيل Bing وبعض رؤوس المتصفح قبل إعادة التوجيه، بينما تتحقق صفحة Claude المزيفة من أن الزوار جاءوا من Google أو Bing.
خداع التثبيت والنتائج الخفية
الوجهة النهائية هي تقليد مقنع لصفحة تنزيل Claude، تقدم مثبت macOS باستخدام أمر تثبيت يتم إدخاله في Terminal. تعرض الصفحة أمر التثبيت الشرعي لـ Anthropic: «curl -fsSL https://claude.ai/install.sh | bash». ولكن، عند النقر على زر النسخ، يتم وضع أمر خبيث مختلف تمامًا في حافظة النظام.
يقوم الأمر المستبدل أولًا بطباعة رسالة تزعم تنزيل Claude من موقع Anthropic الرسمي، ولكنه في الواقع يقوم بفك تشفير رابط مشفر بـ Base64 يشير إلى lake-90[.]com. ثم يستخدم «curl» لتنزيل ملف «.dat» بصمت من خادم يتحكم فيه المهاجمون، ويقوم بتمرير محتوياته مباشرة إلى Z shell (zsh) في macOS للتنفيذ. هذا يعني أن الضحايا يرون رابط تثبيت Claude الشرعي على صفحة التنزيل وفي Terminal، على الرغم من أنه يتم تنفيذ نص برمجي مختلف تمامًا. لم يتم الكشف عن الحمولة النهائية التي يتم تسليمها، لذا لا يزال من غير الواضح نوع البرامج الضارة التي يتم تثبيتها.
ماذا يعني هذا للمطورين والمصممين؟
هذه الهجمات تسلط الضوء على تزايد تعقيد تهديدات الأمن السيبراني. يجب على المطورين والمصممين توخي أقصى درجات الحذر عند تنزيل أي برنامج، حتى لو كانت المصادر تبدو موثوقة. برأينا، من الضروري دائمًا التحقق من أنك تقوم بالتنزيل من الموقع الرسمي للمنتج مباشرة وتجنب النقر على روابط الإعلانات المشبوهة، خاصة تلك التي تمر عبر عمليات إعادة توجيه متعددة. هذه التقنيات الخبيثة تؤكد أهمية الوعي الأمني المستمر لمجتمع التقنية للحماية من التهديدات المتطورة.
المصدر: bleepingcomputer.com