Adception-Malvertising-Kampagne missbraucht Suchmaschinen-Weiterleitungen

Zusammenfassung

Angreifer nutzen eine neue Technik namens Adception, die gesponserte Google-Suchanzeigen missbraucht, um Benutzer durch legitime Suchmaschinen-Weiterleitungen, einschließlich Bing, und kompromittierte Websites zu leiten, bevor schädliche Nutzlasten geliefert werden. Der Ansatz hilft, traditionelle Sicherheits-Scanner zu umgehen, indem er vertrauenswürdige Domains während der ersten Überprüfung präsentiert. Die Kampagne zielt speziell auf Benutzer ab, die nach Claude macOS-Installationsprogrammen suchen, durch fortgeschrittene Social-Engineering- und Zwischenablage-Manipulation.

Untersuchung

Das Push-Team entdeckte eine mehrstufige Umleitungskette, die mit einer Google-Anzeige für „claude mac“ begann und zu einem Bing-Suchergebnis führte. Die Kette führte dann über eine kompromittierte südamerikanische Einzelhandels-Website, bevor sie eine gefälschte Claude-Downloadseite erreichte. Forscher fanden heraus, dass die endgültige Nutzlastlieferung von einem täuschenden „Kopieren“-Button abhing, der einen schädlichen Befehl in die Zwischenablage des Benutzers einfügte, anstatt den legitimen auf dem Bildschirm angezeigten Befehl.

Minderung

Organisationen sollten browserbasierte Sicherheitskontrollen einsetzen, die in der Lage sind, Echtzeit-Sitzungstelemetrie zu analysieren und Umleitungsketten zu überprüfen. Überwachung verdächtiger Zwischenablageaktivitäten und unerwarteter Terminalbefehlsausführungen, insbesondere mit curl und zsh, ist unerlässlich. Sicherheitsteams sollten auch strikte Webfilterung durchsetzen und nicht ausschließlich auf URL-Reputationsprüfungen vertrauen, um Multi-Hop-Umleitungsangriffe zu erkennen.

Reaktion

Wenn Adception-Aktivitäten erkannt werden, sollten Sicherheitsteams den betroffenen Endpunkt isolieren, um weitere Skriptausführungen zu stoppen. Überprüfen Sie den Terminalverlauf des Benutzers und die verfügbare Zwischenablageaktivität, um festzustellen, welcher Befehl ausgeführt wurde. Führen Sie eine umfassende forensische Analyse des Endpunkts durch, um zu bewerten, ob die lake-90[.]com-Nutzlast zu einer dauerhaften Malware-Installation, einem Diebstahl von Anmeldedaten oder einem weiteren Kompromittierungsvorgang führte.

Simulationsexekution

• Angriffsgeschichte & Befehle: Der Gegner führt eine Adception-Kampagne durch. Ihnen ist es gelungen, eine gesponserte Suchanzeige zu nutzen, um einen Umleitungslink zu erstellen. Wenn ein Suchmaschinen-Crawler (wie Bingbot) den Link besucht, liefert die Infrastruktur eine spezifische Umleitung oder eine „getarnte“ Seite (z.B. eine 404-Seite oder ein spezifischer Lockpfad), um die wahre bösartige Nutzlast vor der Inspektion des Crawlers zu verbergen, während der Endbenutzer den Phishing-Inhalt sieht. Die Simulation wird einen Bingbot macht eine Anfrage an ein bing.com/ck/a Umleitungs-URI und eine Anfrage an den claude-desk-code Tarnpfad.

• Regressionstest-Skript:

  #!/bin/bash
  # Simulationsskript zur Validierung der Adception-Erkennung
  # Dieses Skript simuliert zwei Szenarien: 1. Umleitung und 2. Cloaking
  
  echo "[*] Starte Adception-Simulation..."
  
  # Szenario 1: Simulation der Umleitung über Bing-Redirect-URI mit Bingbot-UA
  echo "[+] Simulation der Umleitung (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=bösartige_nutzlast" 
       -o /dev/null
  
  # Szenario 2: Simulation des Zugriffs auf die getarnte Seite mit Googlebot-UA
  echo "[+] Simulation der Getarnten Seite (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen."

• Bereinigungskommandos:

  # Durch diese curl-basierte Simulation werden keine permanenten Artefakte erstellt.
  # Wenn Dateien auf dem Webserver erstellt wurden, sollten sie entfernt werden:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Bereinigung abgeschlossen. Keine persistenten Artefakte gefunden."