Campagna di Malvertising Adception Sfrutta i Reindirizzamenti dei Motori di Ricerca

Riassunto

Gli aggressori stanno utilizzando una nuova tecnica chiamata Adception, che sfrutta gli annunci sponsorizzati di Google per reindirizzare gli utenti attraverso reindirizzamenti di motori di ricerca legittimi, inclusi Bing, e siti web compromessi prima di consegnare payload dannosi. L’approccio aiuta a eludere gli scanner di sicurezza tradizionali presentando domini affidabili durante l’ispezione iniziale. La campagna prende di mira specificamente gli utenti alla ricerca di installatori Claude per macOS tramite tecniche avanzate di ingegneria sociale e manipolazione degli appunti.

Indagine

Il team Push ha scoperto una catena di reindirizzamento a più stadi che inizia con un annuncio Google per “claude mac” che porta a un risultato di ricerca Bing. La catena ha poi attraversato un sito web di vendita al dettaglio sudamericano compromesso prima di raggiungere una falsa pagina di download di Claude. I ricercatori hanno scoperto che la consegna finale del payload si basava su un ingannevole pulsante “Copia” che inseriva un comando dannoso negli appunti dell’utente al posto del comando legittimo mostrato sullo schermo.

Mitigazione

Le organizzazioni dovrebbero implementare controlli di sicurezza basati sul browser capaci di analizzare la telemetria delle sessioni in tempo reale e ispezionare le catene di reindirizzamento. È essenziale monitorare l’attività sospetta degli appunti e l’esecuzione inattesa di comandi del terminale, in particolare coinvolgendo curl e zsh. I team di sicurezza dovrebbero anche imporre un rigido filtro web e evitare di fare affidamento esclusivamente sui controlli della reputazione degli URL per rilevare gli attacchi di reindirizzamento multi-hop.

Risposta

Quando viene rilevata un’attività di Adception, i team di sicurezza dovrebbero isolare l’endpoint interessato per arrestare ulteriori esecuzioni di script. Rivedere la cronologia del terminale dell’utente e l’attività disponibile degli appunti per determinare quale comando è stato eseguito. Eseguire un’analisi forense completa dell’endpoint per valutare se il payload di lake-90[.]com ha portato a un’installazione persistente di malware, furto di credenziali o compromessi aggiuntivi.

Esecuzione di Simulazione

• Narrazi ne dell attacco e comandi: L’avversario sta conducendo una campagna di Adception. Hanno utilizzato con successo un annuncio di ricerca sponsorizzato per creare un link di reindirizzamento. Quando un crawler dei motori di ricerca (come Bingbot) visita il link, l’infrastruttura serve un reindirizzamento specifico o una pagina “mascherata” (es. una pagina 404 o un percorso di esca specifico) per nascondere il vero payload dannoso dall’ispezione del crawler, mentre l’utente finale vede il contenuto di phishing. La simulazione imiterà un Bingbot effettuando una richiesta a un bing.com/ck/a URI di reindirizzamento e una richiesta al claude-desk-code percorso di esca.

• Script del Test di Regressione:

  #!/bin/bash
  # Script di Simulazione per la Validazione del Rilevamento di Adception
  # Questo script simula due scenari: 1. Reindirizzamento e 2. Offuscamento
  
  echo "[*] Inizio Simulazione Adception..."
  
  # Scenario 1: Simulazione del Reindirizzamento tramite URI di Reindirizzamento Bing con UA Bingbot
  echo "[+] Simulazione Reindirizzamento (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # Scenario 2: Simulazione dell'accesso alla Pagina Mascherata con UA Googlebot
  echo "[+] Simulazione Pagina Mascherata (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Simulazione Completa. Controllare SIEM per gli alert."

• Comandi di Pulizia:

  # Nessun artefatto permanente è creato da questa simulazione basata su curl.
  # Se sono stati creati file sul server web, dovrebbero essere rimossi:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Pulizia completata. Nessun artefatto persistente trovato."