Кампанія Adception зі зловмисною рекламою зловживає переадресаціями пошукових систем

Резюме

Зловмисники використовують нову техніку під назвою Adception, яка зловживає спонсорованими рекламами Google для перенаправлення користувачів через легітимні перенаправлення пошукових систем, включаючи Bing, та скомпрометовані вебсайти перед доставкою шкідливих навантажень. Цей підхід допомагає уникнути традиційних сканерів безпеки, представляючи довірені домени під час початкової перевірки. Кампанія спеціально націлена на користувачів, які шукають установники Claude для macOS через розвинений соціальний інжиніринг та маніпуляції з буфером обміну.

Розслідування

Команда Push виявила багатостадійну ланцюжок перенаправлення, починаючи з реклами Google для “claude mac”, яка привела до результату пошуку в Bing. Ланцюг потім пройшов через скомпрометований південноамериканський роздрібний сайт, перш ніж дістатися до підробної сторінки завантаження Claude. Дослідники виявили, що остаточна доставка навантаження ґрунтується на оманливій кнопці “Скопіювати”, яка вставляла шкідливу команду в буфер обміну користувача замість легітимної команди, показаної на екрані.

Пом’якшення

Організації повинні реалізувати контроль безпеки браузера, здатний аналізувати телеметрію сеансу в реальному часі та перевіряти ланцюжки перенаправлення. Моніторинг підозрілої активності буфера обміну та несподіваного виконання команд в терміналі, особливо тих, що залучають curl та zsh, є важливим. Команди безпеки також повинні забезпечити сувору фільтрацію вебконтенту й не покладатися лише на перевірки репутації URL для виявлення атак з багатоетапним перенаправленням.

Відповідь

Коли виявляється активність Adception, команди безпеки повинні ізолювати уражену кінцеву точку, щоб зупинити подальше виконання скриптів. Огляньте історію сеансів користувача в терміналі та доступну активність буфера обміну, щоб визначити, яка команда виконувалася. Проведіть всебічний судовий аналіз кінцевої точки для оцінки, чи призвело навантаження lake-90[.]com до встановлення постійного шкідливого ПЗ, крадіжки облікових даних або додаткового компромета.

Виконання симуляції

• Опис атаки та команди: Супротивник проводить кампанію Adception. Вони успішно використали спонсоровану пошукову рекламу для створення посилання на перенаправлення. Коли повзунок пошукової системи (на кшталт Bingbot) відвідує посилання, інфраструктура подає специфічне перенаправлення або “замасковану” сторінку (наприклад, 404 сторінку або конкретний шлях-декой), щоб приховати істинне шкідливе навантаження від перевірки сканера, в той час як кінцевий користувач бачить фішинговий контент. Симуляція буде імітувати Bingbot роблячи запит до bing.com/ck/a URI перенаправлення і запит до claude-desk-code шляху-декоя.

• Сценарій регресійного тестування:

  #!/bin/bash
  # Симуляційний скрипт для перевірки виявлення Adception
  # Цей скрипт імітує два сценарії: 1. Перенаправлення та 2. Маскування
  
  echo "[*] Запуск симуляції Adception..."
  
  # Сценарій 1: Імітація перенаправлення через URI перенаправлення Bing з UA Bingbot
  echo "[+] Імітується перенаправлення (T1584.002)..."
  curl -s -A "Mozilla/5.0 (compatible; Bingbot/2.0; +http://www.bing.com/bingbot.htm)" 
       "http://localhost/bing.com/ck/a?q=malicious_payload" 
       -o /dev/null
  
  # Сценарій 2: Імітація доступу до замаскованої сторінки з UA Googlebot
  echo "[+] Імітується замаскована сторінка (T1189)..."
  curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
       "http://localhost/claude-desk-code" 
       -o /dev/null
  
  echo "[*] Симуляція завершена. Перевірте СІЕМ на наявність сповіщень."

• Команди очищення:

  # Ця симуляція на основі curl не створює постійних артефактів.
  # Якщо файли були створені на вебсервері, їх потрібно видалити:
  # rm -f /var/www/html/claude-desk-code
  echo "[*] Очищення завершено. Постійні артефакти не виявлені."