Gli attacchi ClickFix sono sempre molto popolari, in quanto sfruttano unicamente le azioni degli ignari utenti. I ricercatori di Push Security hanno scoperto una nuova tecnica, denominata Adception, che sfrutta Bing e Google per arrivare al sito che ospita una versione fasulla dell’installer di Claude per macOS. Non è noto però quale malware viene installato.
Tecnica per ingannare gli utenti e aggirare i controlli
Solitamente gli attacchi ClickFix sfruttano i link sponsorizzati di Google che portano l’utente direttamente sul sito creato dai cybercriminali. In questi casi, l’azienda di Mountain View può rilevare l’URL pericoloso e bloccare l’accesso al sito. I ricercatori di Push Security hanno individuato una nuova tecnica che permette di aggirare i controlli.
Cercando “claude mac” su Google viene mostrato un link sponsorizzato con dominio bing.com, quindi nessun riferimento a Claude o Anthropic. Quando l’utente clicca sul link inizia una sequenza di reindirizzamenti. Viene caricato il risultato di ricerca in Bing che, tramite JavaScript, porta il browser nella pagina “About us” di un sito compromesso (appartiene ad un rivenditore sudamericano). Il “viaggio” termina su una pagina simile a quella legittima di Claude, in cui è presente il presunto installer per macOS.
Cliccando sul pulsante “Download for macOS” viene mostrata la classica finestra con le istruzioni da seguire per installare Claude. Il comando curl -fsSL https://claude.ai/install.sh | bash è quello legittimo, ma cliccando il pulsante Copia viene caricato un diverso comando negli appunti. Se l’ignara vittima incolla ed esegue il comando nel Terminale scaricherà un file dal server controllato dai cybercriminali che verrà eseguito in zsh, la shell di macOS.
I ricercatori di Push Security non hanno scoperto il payload (malware) installato. Come in precedenti attacchi ClickFix per macOS potrebbe essere un infostealer che ruba numerosi dati personali.
Ti potrebbe interessare
19 ott 2026