Campanha de Malvertising Adception Abusa de Redirecionamentos de Motores de Busca

Resumo

Os atacantes estão usando uma nova técnica chamada Adception, que abusa de anúncios patrocinados no Google para redirecionar usuários por meio de redirecionamentos de motores de busca legítimos, incluindo Bing, e sites comprometidos antes de entregar cargas maliciosas. A abordagem ajuda a escapar de scanners de segurança tradicionais apresentando domínios confiáveis durante a inspeção inicial. A campanha tem como alvo específico os usuários que procuram por instaladores do Claude para macOS por meio de engenharia social avançada e manipulação da área de transferência.

Investigação

A equipe Push descobriu uma cadeia de redirecionamento em várias etapas começando com um anúncio do Google para “claude mac” que levava a um resultado de busca do Bing. A cadeia então passava por um site de varejo sul-americano comprometido antes de chegar a uma página falsa de download do Claude. Os pesquisadores descobriram que a entrega final da carga dependia de um botão enganosamente chamado “Copiar” que colocava um comando malicioso na área de transferência do usuário em vez do comando legítimo exibido na tela.

Mitigação

As organizações devem implantar controles de segurança baseados em navegador capazes de analisar a telemetria de sessão em tempo real e inspecionar cadeias de redirecionamento. Monitorar atividades suspeitas na área de transferência e execução inesperada de comandos no terminal, particularmente envolvendo curl e zsh, é essencial. As equipes de segurança também devem aplicar filtros rigorosos na web e evitar confiar apenas em verificações de reputação de URLs para detectar ataques de redirecionamento em múltiplos saltos.

Resposta

Quando a atividade de Adception é detectada, as equipes de segurança devem isolar o endpoint afetado para interromper a execução de scripts adicionais. Revisar o histórico do terminal do usuário e a atividade disponível na área de transferência para determinar qual comando foi executado. Realizar uma análise forense abrangente do endpoint para avaliar se a carga útil lake-90[.]com resultou na instalação persistente de malware, roubo de credenciais ou comprometimento adicional.

Execução de Simulação

• Narrativa de Ataque & Comandos: O adversário está realizando uma campanha de Adception. Eles usaram com sucesso um anúncio de busca patrocinada para criar um link de redirecionamento. Quando um rastreador de motor de busca (como o Bingbot) visita o link, a infraestrutura serve um redirecionamento específico ou uma página “oculta” (por exemplo, uma página 404 ou um caminho de isca específico) para esconder a verdadeira carga maliciosa da inspeção do rastreador, enquanto o usuário final vê o conteúdo de phishing. A simulação irá imitar um Bingbot fazendo uma solicitação para um bing.com/ck/a URI de redirecionamento e uma solicitação para o caminho de isca do Claude .

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de Simulação para Validação de Detecção de Adception
  # Este script simula dois cenários: 1. Redirecionamento e 2. Ocultação
  
  echo "[*] Iniciando Simulação de Adception..."
  
  # Cenário 1: Simulando o Redirecionamento via URI de Redirecionamento do Bing com UA do Bingbot
  echo "[+] Simulando Redirecionamento (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatível; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # Cenário 2: Simulando o Acesso à Página Oculta com UA do Googlebot
  echo "[+] Simulando Página Oculta (T1189)..."
  curl -s -A "Mozilla/5.0 (compatível; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Simulação Completa. Verifique alertas no SIEM."

• Comandos de Limpeza:

  # Nenhum artefato permanente é criado por esta simulação baseada em curl.
  # Se arquivos foram criados no servidor web, eles devem ser removidos:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Limpeza completa. Nenhum artefato persistente encontrado."