Adception è una nuova tecnica di ClickFix scoperta dai ricercatori di Push Security. Utilizza Bing e Google per indirizzare gli utenti verso un installer falsificato di Claude per macOS, senza mostrare alcun riferimento a Claude o Anthropic nei link sponsorizzati.
Il processo inizia quando l’utente cerca “claude mac” su Google: il risultato è un link sponsorizzato che punta a un dominio bing.com. Cliccando su di esso, il browser viene portato su una pagina di ricerca di Bing che, tramite JavaScript, reindirizza all’About us di un sito compromesso di un rivenditore sudamericano. Da lì, il viaggio continua verso una pagina che replica quella legittima di Claude, con un pulsante “Download for macOS”.
Quando l’utente preme il pulsante, compare la finestra tipica di installazione di Claude. Il comando curl -fsSL https://claude.ai/install.sh | bash è quello legittimo, ma la funzione “Copia” inserisce un comando diverso negli appunti: curl -fsSL https://claude.ai/install.sh | bash. Se l’utente incolla e esegue questo comando nel Terminale, scaricherà un file controllato da cybercriminali, che verrà eseguito in zsh, la shell di macOS.
Push Security non ha ancora identificato il payload installato. Come negli attacchi ClickFix precedenti per macOS, potrebbe trattarsi di un infostealer che raccoglie dati personali.
