Kampania Malvertising Adception Wykorzystuje Przekierowania Wyszukiwarek

Streszczenie

Atakujący używają nowej techniki nazwanej Adception, która wykorzystuje sponsorowane reklamy Google, aby przekierowywać użytkowników przez legalne przekierowania wyszukiwarek, w tym Bing, oraz zhakowane strony internetowe przed dostarczeniem złośliwych ładunków. Podejście to pomaga unikać tradycyjnych skanerów bezpieczeństwa poprzez prezentację zaufanych domen podczas początkowej inspekcji. Kampania szczególnie celuje w użytkowników szukających instalatorów Claude dla macOS poprzez zaawansowane metody inżynierii społecznej i manipulacje schowkiem.

Dochodzenie

Zespół Push odkrył wieloetapowy łańcuch przekierowań rozpoczynający się od reklamy Google dla „claude mac”, która prowadziła do wyniku wyszukiwania Bing. Następnie łańcuch przechodził przez zhakowaną stronę południowoamerykańskiego sklepu detalicznego, zanim dotarł do fałszywej strony pobierania Claude. Badacze odkryli, że końcowe dostarczanie ładunku opierało się na zwodniczym przycisku „Kopiuj”, który umieszczał złośliwe polecenie w schowku użytkownika zamiast pokazanego na ekranie prawdziwego polecenia.

Łagodzenie

Organizacje powinny wdrożyć kontrolki bezpieczeństwa przeglądarki zdolne do analizowania telemetrii sesji w czasie rzeczywistym i inspekcji łańcuchów przekierowań. Monitorowanie podejrzanej aktywności schowka i niespodziewanego wykonywania poleceń terminalowych, zwłaszcza przy użyciu curl i zsh, jest kluczowe. Zespoły bezpieczeństwa powinny również egzekwować ścisłe filtrowanie sieciowe i unikać polegania wyłącznie na sprawdzaniu reputacji URL w celu wykrywania ataków z wieloma przekierowaniami.

Reakcja

Gdy zostanie wykryta aktywność Adception, zespoły bezpieczeństwa powinny izolować zaatakowany punkt końcowy aby zatrzymać dalsze wykonywanie skryptu. Przejrzyj historię terminala użytkownika i dostępną aktywność schowka, aby określić, które polecenie zostało wykonane. Przeprowadź kompleksową analizę kryminalistyczną punktu końcowego, aby ocenić, czy ładunek lake-90[.]com skutkował trwałą instalacją złośliwego oprogramowania, kradzieżą poświadczeń lub dodatkowym naruszeniem.

Wykonanie Symulacji

• Opis Ataku i Polecenia: Przeciwnik prowadzi kampanię Adception. Udało im się użyć sponsorowanej reklamy do stworzenia linku przekierowującego. Kiedy crawler wyszukiwarki (jak Bingbot) odwiedza link, infrastruktura serwuje określone przekierowanie lub „ukrytą” stronę (np. stronę 404 lub określoną ścieżkę zwodniczą) w celu ukrycia prawdziwego złośliwego ładunku przed inspekcją przez crawler, podczas gdy użytkownik końcowy widzi treści phishingowe. Symulacja naśladuje Bingbot składający żądanie do bing.com/ck/a URI przekierowania i żądanie do claude-desk-code ścieżki zwodniczej.

• Skrypt Testu Regresji:

  #!/bin/bash
  # Skrypt Symulacyjny dla Walidacji Wykrycia Adception
  # Ten skrypt symuluje dwa scenariusze: 1. Przekierowanie i 2. Maskowanie
  
  echo "[*] Rozpoczęcie Symulacji Adception..."
  
  # Scenariusz 1: Symulacja Przekierowania przez URI Przekierowania Bing z UA Bingbot
  echo "[+] Symulacja Przekierowania (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # Scenariusz 2: Symulacja Dostępu Do Maskowanej Strony z UA Googlebot
  echo "[+] Symulacja Maskowanej Strony (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Symulacja Zakończona. Sprawdź SIEM pod kątem alertów."

• Polecenia Czyszczenia:

  # Żadne trwałe artefakty nie są tworzone przez tę symulację bazującą na curl.
  # Jeśli pliki zostały utworzone na serwerze WWW, powinny zostać usunięte:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Czyszczenie zakończone. Nie znaleziono trwałych artefaktów."