검색 엔진 리디렉션을 남용하는 Adception 악성 광고 캠페인

요약

공격자들이 애드셉션(Adception)이라는 새로운 기술을 사용하고 있습니다. 이들은 스폰서된 구글 검색 광고를 악용하여 사용자를 합법적인 검색 엔진 리다이렉트(예: Bing)를 거쳐 손상된 웹사이트로 리다이렉션하여 악성 페이로드를 전달합니다. 이 접근법은 초기 검사 시 신뢰할 수 있는 도메인을 제시하여 전통적인 보안 스캐너를 피할 수 있도록 도와줍니다. 이 캠페인은 특히 Claude macOS 설치 프로그램을 검색하는 사용자를 대상으로 고급 사회 공학 및 클립보드 조작을 사용합니다.

조사

Push 팀은 Bing 검색 결과로 연결되는 “claude mac”이라는 구글 광고에서 시작한 다단계 리다이렉트 체인을 발견했습니다. 이 체인은 남미의 손상된 리테일 웹사이트를 거쳐 가짜 Claude 다운로드 페이지에 도달했습니다. 연구자들은 최종 페이로드 전달이 화면에 표시된 합법적인 명령 대신 사용자 클립보드에 악성 명령을 넣는 속이는 “복사” 버튼에 의존한다는 것을 발견했습니다.

완화

조직은 실시간 세션 원격 데이터 분석 및 리다이렉트 체인 검사가 가능한 브라우저 기반 보안 통제를 배포해야 합니다. 의심스러운 클립보드 활동 및 curl 및 zsh와 관련된 예상치 못한 터미널 명령 실행을 모니터링하는 것이 중요합니다. 보안 팀은 또한 엄격한 웹 필터링을 시행하고 다중 홉 리다이렉트 공격을 감지하기 위해 URL 평판 검사에만 의존하지 않도록 해야 합니다.

대응

애드셉션 활동이 감지되면 보안 팀은 추가 스크립트 실행을 중지하기 위해 영향을 받은 엔드포인트를 격리해야 합니다. 사용자의 터미널 기록 및 사용 가능한 클립보드 활동을 검토하여 어떤 명령이 실행되었는지 확인하십시오. 지속적인 악성코드 설치, 자격 증명 탈취 또는 추가 손상이 있었는지 평가하기 위한 엔드포인트의 종합적인 포렌식 분석을 수행하십시오.

시뮬레이션 실행

• 공격 내러티브 & 명령어: 공격자는 애드셉션 캠페인을 수행하고 있습니다. 그들은 스폰서된 검색 광고를 성공적으로 사용하여 리다이렉트 링크를 생성했습니다. 검색 엔진 크롤러(Bingbot)가 링크를 방문하면 인프라는 크롤러의 검사에서 실제 악성 페이로드를 숨기기 위해 특정 리다이렉트 또는 “클로킹된” 페이지(예: 404 페이지 또는 특정 속이는 경로)를 제공합니다. 반면에 최종 사용자는 피싱 내용을 보게 됩니다. 이 시뮬레이션은 Bingbot 이 요청을 보낼 때, bing.com/ck/a 리다이렉트 URI와 요청을 claude-desk-code 속이는 경로로 보낼 것입니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # 애드셉션 탐지 검증을 위한 시뮬레이션 스크립트
  # 이 스크립트는 두 시나리오를 시뮬레이션합니다: 1. 리다이렉트와 2. 클로킹
  
  echo "[*] 애드셉션 시뮬레이션 시작..."
  
  # 시나리오 1: Bing 리다이렉트 URI를 통한 Bingbot UA로 리다이렉션 시뮬레이션
  echo "[+] 리다이렉션 시뮬레이션 중 (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # 시나리오 2: Googlebot UA로 클로킹된 페이지 액세스 시뮬레이션
  echo "[+] 클로킹된 페이지 시뮬레이션 중 (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] 시뮬레이션 완료. SIEM에서 경고를 확인하십시오."

• 정리 명령:

  # 이 curl 기반 시뮬레이션으로 영구 아티팩트는 생성되지 않았습니다.
  # 웹서버에 파일이 생성되었다면 제거되어야 합니다:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] 정리 완료. 영구적인 아티팩트 없음."