Campagne de Malvertising Adception Exploite les Redirections des Moteurs de Recherche

Résumé

Les attaquants utilisent une nouvelle technique surnommée Adception, qui exploite les annonces de recherche sponsorisées de Google pour rediriger les utilisateurs via des redirections de moteurs de recherche légitimes, y compris Bing, et des sites Web compromis avant de livrer des charges malveillantes. L’approche aide à échapper aux scanners de sécurité traditionnels en présentant des domaines de confiance lors de l’inspection initiale. La campagne cible spécifiquement les utilisateurs à la recherche d’installateurs de Claude macOS par le biais d’une ingénierie sociale avancée et de la manipulation du presse-papiers.

Enquête

L’équipe de Push a découvert une chaîne de redirection en plusieurs étapes commençant par une annonce Google pour « claude mac » qui menait à un résultat de recherche Bing. La chaîne passait ensuite par un site de vente au détail sud-américain compromis avant d’atteindre une fausse page de téléchargement de Claude. Les chercheurs ont constaté que la livraison finale de la charge reposait sur un bouton « Copier » trompeur qui plaçait une commande malveillante dans le presse-papiers de l’utilisateur à la place de la commande légitime affichée à l’écran.

Atténuation

Les organisations devraient déployer des contrôles de sécurité basés sur le navigateur capables d’analyser la télémétrie des sessions en temps réel et d’inspecter les chaînes de redirection. Surveiller l’activité suspecte du presse-papiers et l’exécution inattendue de commandes terminales, notamment impliquant curl et zsh, est essentiel. Les équipes de sécurité devraient également imposer un filtrage strict du Web et éviter de se fier uniquement aux vérifications de réputation des URL pour détecter des attaques de redirection multiples.

Réponse

Lorsque l’activité Adception est détectée, les équipes de sécurité doivent isoler l’endpoint affecté pour arrêter l’exécution de scripts supplémentaires. Revoir l’historique du terminal de l’utilisateur et l’activité disponible du presse-papiers pour déterminer quelle commande a été exécutée. Réalisez une analyse médico-légale complète de l’endpoint pour évaluer si la charge utile lake-90[.]com a entraîné l’installation persistante de logiciels malveillants, le vol d’identifiants ou d’autres compromissions.

Exécution de la simulation

• Narratif d’attaque et commandes : L’adversaire mène une campagne Adception. Ils ont utilisé avec succès une annonce de recherche sponsorisée pour créer un lien de redirection. Lorsqu’un robot d’exploration de moteur de recherche (comme Bingbot) visite le lien, l’infrastructure sert une redirection spécifique ou une page « cachée » (par exemple, une page 404 ou un chemin factice spécifique) pour masquer la véritable charge malveillante de l’inspection du robot, tandis que l’utilisateur final voit le contenu de phishing. La simulation va imiter un Bingbot effectuant une requête vers un bing.com/ck/a URI de redirection et une requête vers le chemin factice. scénario de décoy.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation pour la validation de la détection Adception
  # Ce script simule deux scénarios : 1. Redirection et 2. Déguisement
  
  echo "[*] Démarrage de la simulation Adception..."
  
  # Scénario 1 : Simulation de la redirection via l'URI de redirection Bing avec l'UA Bingbot
  echo "[+] Simulation de la redirection (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # Scénario 2 : Simulation de l'accès à la page cachée avec l'UA Googlebot
  echo "[+] Simulation de la page cachée (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Simulation terminée. Vérifiez le SIEM pour les alertes."

• Commandes de nettoyage :

  # Aucun artefact permanent n'est créé par cette simulation basée sur curl.
  # Si des fichiers ont été créés sur le serveur Web, ils devraient être supprimés :
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Nettoyage terminé. Aucun artefact persistant trouvé."