Uma nova campanha de malvertising utiliza redirecionamentos legítimos do Bing em anúncios do Google para enganar utilizadores e distribuir malware ClickFix.
Ataque "Adception" utiliza infraestrutura de confiança
Investigadores de segurança da Push Security detetaram uma nova campanha de malvertising que explora a confiança dos utilizadores em domínios legítimos. A técnica, apelidada de "Adception", utiliza redirecionamentos do motor de busca Bing como destino final em anúncios do Google, contornando mecanismos de verificação de segurança das plataformas publicitárias.
O ataque foca-se em utilizadores que pesquisam por termos como "claude mac". Ao clicarem no anúncio, os utilizadores são encaminhados através de um redirecionamento do Google para o endpoint de rastreio bing.com/ck/a, que por sua vez reencaminha a vítima para um site WordPress comprometido e, finalmente, para uma página falsa de download do Claude.
O mecanismo ClickFix e o risco para utilizadores macOS
A página falsa apresenta-se como um instalador legítimo para macOS, exibindo o comando de instalação oficial da Anthropic. No entanto, ao clicar no botão de cópia, o utilizador é enganado: o comando copiado para a área de transferência é malicioso. Este comando executa um script que descarrega silenciosamente um ficheiro .dat e executa-o diretamente no terminal (zsh), permitindo a instalação de malware sem que o utilizador perceba a alteração.
Para evitar a deteção por scanners de segurança, os atacantes utilizam múltiplas camadas de cloaking. O site comprometido e a página de destino verificam o referenciador (Bing ou Google) e os cabeçalhos do browser; utilizadores que acedam diretamente ao URL malicioso são redirecionados para uma página de erro 404.
Impacto e recomendações
Embora o payload final desta campanha específica ainda não seja conhecido, a técnica "ClickFix" tem sido associada à distribuição de várias formas de malware, incluindo infostealers e RATs (Remote Access Trojans). A utilização de domínios fidedignos como o Bing torna os anúncios extremamente difíceis de distinguir de resultados legítimos.
Para os utilizadores em Portugal, a recomendação é redobrar a atenção ao descarregar software, mesmo que o site pareça oficial. Verifica sempre o URL na barra de endereços e evita executar comandos de terminal copiados de páginas web, a menos que tenhas a certeza absoluta da sua proveniência e integridade.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Hackers expõem dados de 41 mil funcionários do Departamento de Segurança Interna dos EUA
Ataque à Onamae Desktop Cloud: GMO confirma roubo de dados e ameaça de ransomware
Ahold Delhaize confirma ciberataque que afetou serviços na Europa e EUA