Iklan Claude di Google Ternyata Palsu, Pengguna Mac Diminta Waspada Modus Adception

Pengguna perangkat Mac diminta meningkatkan kewaspadaan setelah sebuah laporan menemukan modus serangan siber terbaru yang memanfaatkan kampanye iklan Claude di Google Search. Temuan ini diungkap Push Security yang mendeteksi adanya iklan pencarian berbahaya yang mengarahkan pengguna ke situs palsu dan menyebarkan perangkat lunak berbahaya bernama ClickFix.

Dalam laporan resminya pada Jumat (9/10), Push Security menjelaskan bahwa mereka menemukan contoh baru berupa hasil pencarian mesin pencari yang disisipkan ke dalam iklan bersponsor di mesin pencari lain. Hasil pencarian tersebut digunakan sebagai pengalihan sekaligus titik pemeriksaan untuk mengalihkan pengunjung yang tidak diinginkan.

Modus ini disebut Push Security sebagai Adception. Peretas memanfaatkan pengalihan dari hasil pencarian Bing sebagai tautan dalam iklan pencarian Google untuk mengarahkan korban ke penginstal Claude palsu yang menyebarkan ClickFix. Cara ini berbeda dengan kampanye malvertising pada umumnya yang langsung mengarahkan korban ke domain milik penyerang.

Serangan berawal ketika pengguna mencari kata kunci claude mac di kolom pencarian Google. Iklan bersponsor yang muncul menampilkan domain bing.com sehingga tampak tepercaya. Setelah diklik, pengguna akan dibawa melalui hasil pencarian Bing dan situs ritel yang telah diretas sebelum akhirnya tiba di laman unduhan Claude palsu.

Push Security menemukan dua lapisan penyamaran yang membatasi pengiriman muatan berbahaya sekaligus menyembunyikannya dari pengunjung yang tidak diinginkan. Situs yang disusupi memiliki pemeriksaan di sisi server melalui pengalihan HTTP 302 yang mengharuskan pengunjung datang dengan informasi perujuk Bing dan header browser tertentu.

Sementara itu, situs Claude palsu memiliki pemeriksaan terpisah menggunakan JavaScript yang membaca nilai document.referrer. Jika nilai tersebut tidak memuat Google atau Bing, pengguna akan diarahkan ke laman 404. Laman terakhir yang ditampilkan merupakan tiruan laman unduhan Claude yang dirancang rapi, lengkap dengan tombol Download for macOS dan perintah instalasi satu baris untuk terminal.

Menurut Push Security, langkah instalasi tersebut memiliki dua bentuk penyamaran. Laman akan menampilkan perintah asli milik Anthropic, tetapi ketika pengguna mengeklik tombol Copy, perintah berbeda justru tersalin ke clipboard. Perintah yang ditempelkan menampilkan teks Downloading Claude: htpps://claude.ai/install[.]sh di terminal, lalu menerjemahkan URL tersembunyi dan meneruskan skrip dari lake-90[.]com ke zsh untuk dijalankan.

Dengan demikian, pengguna yang membaca laman dan memperhatikan terminal akan melihat tautan Claude yang sah pada kedua kesempatan tersebut. Push Security menyatakan telah mengidentifikasi beberapa domain terkait serangan ClickFix yang sama, yaitu toolkit kriminal. Secara internal, mereka melacaknya dengan nama AcSig berdasarkan header yang harus dikirim bersama HMAC agar perintah berbahaya dapat diambil. Semua domain tersebut menggunakan perintah macOS identik, pola tautan muatan berbahaya yang sama, serta kode jendela instalasi serupa.