La campaña de malvertising Adception abusa de los redireccionamientos de motores de búsqueda

Resumen

Los atacantes están utilizando una nueva técnica denominada Adception, que abusa de los anuncios de búsqueda patrocinados de Google para redirigir a los usuarios a través de redirecciones legítimas de motores de búsqueda, incluido Bing, y sitios web comprometidos antes de entregar cargas maliciosas. El enfoque ayuda a evadir los escáneres de seguridad tradicionales al presentar dominios confiables durante la inspección inicial. La campaña apunta específicamente a usuarios que buscan instaladores de Claude para macOS a través de ingeniería social avanzada y manipulación del portapapeles.

Investigación

El equipo de Push descubrió una cadena de redirección de múltiples etapas que comenzaba con un anuncio de Google para “claude mac” que conducía a un resultado de búsqueda de Bing. Luego, la cadena pasó por un sitio web minorista sudamericano comprometido antes de llegar a una página de descarga falsa de Claude. Los investigadores encontraron que la entrega final de la carga dependía de un engañoso botón “Copiar” que colocaba un comando malicioso en el portapapeles del usuario en lugar del comando legítimo mostrado en pantalla.

Mitigación

Las organizaciones deben implementar controles de seguridad basados en el navegador capaces de analizar la telemetría de sesión en tiempo real e inspeccionar las cadenas de redirección. Monitorear la actividad sospechosa del portapapeles y la ejecución inesperada de comandos en el terminal, particularmente los que involucran curl y zsh, es esencial. Los equipos de seguridad también deben hacer cumplir un filtrado web estricto y evitar confiar únicamente en las verificaciones de reputación de URL para detectar ataques de redirección de múltiples saltos.

Respuesta

Cuando se detecta actividad de Adception, los equipos de seguridad deben aislar el punto final afectado para detener la ejecución adicional de scripts. Revisar el historial del terminal del usuario y la actividad disponible del portapapeles para determinar qué comando se ejecutó. Realizar un análisis forense exhaustivo del punto final para evaluar si la carga lake-90[.]com resultó en la instalación persistente de malware, robo de credenciales o un compromiso adicional.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario está llevando a cabo una campaña de Adception. Han utilizado con éxito un anuncio de búsqueda patrocinado para crear un enlace de redirección. Cuando un rastreador de motores de búsqueda (como Bingbot) visita el enlace, la infraestructura sirve una redirección específica o una página “camuflada” (por ejemplo, una página 404 o un camino específico de señuelo) para ocultar la verdadera carga maliciosa de la inspección del rastreador, mientras que el usuario final ve el contenido de phishing. La simulación imitará un Bingbot haciendo una solicitud a un bing.com/ck/a URI de redirección y una solicitud a la ruta de señuelo. ruta de señuelo.

• Guión de Prueba de Regresión:

  #!/bin/bash
  # Guión de Simulación para Validación de Detección de Adception
  # Este guión simula dos escenarios: 1. Redirección y 2. Camuflaje
  
  echo "[*] Iniciando Simulación de Adception..."
  
  # Escenario 1: Simulando la Redirección a través de URI de Redirección de Bing con UA de Bingbot
  echo "[+] Simulando Redirección (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # Escenario 2: Simulando el Acceso a la Página Camuflada con UA de Googlebot
  echo "[+] Simulando Página Camuflada (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Simulación Completa. Verifique SIEM para alertas."

• Comandos de Limpieza:

  # No se crean artefactos permanentes mediante esta simulación basada en curl.
  # Si se han creado archivos en el servidor web, deben ser eliminados:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Limpieza completa. No se encontraron artefactos persistentes."