Adception マルバタイジングキャンペーンが検索エンジンのリダイレクトを悪用

要約

攻撃者はAdceptionと呼ばれる新しい手法を使用しており、スポンサー付きのGoogle検索広告を悪用してユーザーをBingを含む正当な検索エンジンリダイレクトや侵害されたウェブサイトを通じて誘導し、悪意のあるペイロードを配信しています。この方法は、初期の点検で信頼性のあるドメインを提示することにより、従来のセキュリティスキャナーを回避するのに役立ちます。このキャンペーンは特に、ソーシャルエンジニアリングとクリップボード操作の技術を駆使して、ClaudeのmacOSインストーラーを検索するユーザーをターゲットにしています。

調査

Pushチームは、Bing検索結果に導く「claude mac」のGoogle広告から始まる多段階リダイレクトチェーンを発見しました。チェーンは南米の小売ウェブサイトを経由し、偽のClaudeダウンロードページに到達します。研究者は、最終的なペイロード配送が、画面上に表示された正当なコマンドではなく、ユーザーのクリップボードに悪意のあるコマンドを配置する偽の「コピー」ボタンに依存していることを確認しました。

軽減策

組織は、リアルタイムのセッションテレメトリを分析し、リダイレクトチェーンを検査できるブラウザベースのセキュリティ制御を展開するべきです。curlとzshを含むクリップボードの不審な活動や予期しないターミナルコマンドの実行を監視することが不可欠です。セキュリティチームは、厳格なウェブフィルタリングを施し、URLの評判チェックのみに依存して多段階リダイレクト攻撃を検出しないようにする必要があります。

対応策

Adceptionの活動が検出された場合、セキュリティチームはさらなるスクリプト実行を停止するために影響を受けたエンドポイントを隔離するべきです。ユーザーのターミナル履歴と利用可能なクリップボード活動を確認して、どのコマンドが実行されたかを判断します。lake-90[.]comペイロードが持続的なマルウェアのインストール、資格情報の窃取、または追加の侵害を引き起こしたかどうかを評価するために、エンドポイントの包括的なフォレンジック分析を行います。

シミュレーション実行

• 攻撃シナリオとコマンド： 敵対者はAdceptionキャンペーンを実施しています。彼らはスポンサー付き検索広告を利用してリダイレクトリンクを作成することに成功しました。検索エンジンクローラ（たとえばBingbot）がリンクを訪れた際、インフラストラクチャは特定のリダイレクトまたはクロークされたページ（たとえば、404ページや特定のデコイパス）を提供し、クローラーの検査から真の悪意のあるペイロードを隠す一方で、エンドユーザーにはフィッシングコンテンツを表示します。シミュレーションは Bingbot が bing.com/ck/a リダイレクトURIおよび claude-desk-code デコイパスへのリクエストを模倣します。

• 回帰テストスクリプト：

  #!/bin/bash
  # Adception検出検証のためのシミュレーションスクリプト
  # このスクリプトは2つのシナリオをシミュレートします：1. リダイレクト、2. クローク
  
  echo "[*] Adceptionシミュレーションを開始..."
  
  # シナリオ 1: BingリダイレクトURIを使用したBingbot UAによるリダイレクトのシミュレーション
  echo "[+] リダイレクトのシミュレーション(T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # シナリオ 2: Googlebot UAを使用したクロークページアクセスのシミュレーション
  echo "[+] クロークページのシミュレーション(T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] シミュレーション完了。SIEMでアラートを確認してください。"

• クリーンアップコマンド：

  # このcurlベースのシミュレーションによって恒久的なアーティファクトは作成されません。
  # ウェブサーバー上にファイルが作成された場合、それらは削除されるべきです：
  # rm -f /var/www/html/claude-desk-code
  echo "[*] クリーンアップ完了。永続的なアーティファクトは見つかりません。"