Waspada Iklan Claude Palsu di Google, Pengguna Mac Jadi Sasaran

Sebuah laporan menemukan modus serangan siber terbaru yang memanfaatkan kampanye iklan Claude di Google Search. Serangan ini diketahui menyasar pengguna perangkat Mac.

Laporan terbaru dari Push Security menemukan kampanye berbahaya yang memanfaatkan iklan pencarian untuk mengarahkan pengguna ke situs palsu dan menyebarkan perangkat lunak berbahaya bernama ClickFix.

"Baru-baru ini, Push mendeteksi contoh yang sangat baru, hasil pencarian mesin pencari yang disisipkan ke dalam iklan bersponsor di mesin pencari lain. Hasil pencarian ini digunakan sebagai pengalihan sekaligus titik pemeriksaan untuk mengalihkan pengunjung yang tidak diinginkan," tulis Push Security dalam laman resminya, Jumat (9/10).

Dalam kasus ini, peretas menyalahgunakan redirect atau pengalihan dari hasil pencarian Bing sebagai tautan dalam iklan pencarian Google untuk mengarahkan pengguna ke penginstal Claude palsu yang menyebarkan ClickFix.

Push Security menyebut modus ini sebagai Adception yang dirancang untuk menghindari pemeriksaan keamanan iklan dengan menggunakan domain terpercaya Bing sebagai tujuan iklan, sebelum mengarahkan korban melalui situs web yang disusupi laman unduhan berbahaya.

Modus ini disebut berbeda dengan kampanye malvertising yang mengarahkan korban ke domain yang dikendalikan oleh penyerang pada umumnya.

Cara kerja modus ini

Serangan ini berawal ketika pengguna mencari kata kunci "claude mac" di kolom pencarian Google. Ketika korban mencari kata kunci tersebut, iklan bersponsor yang muncul menampilkan domain bing.com, sehingga tampak terpercaya.

Kemudian, setelah diklik, pengguna akan diarahkan melalui hasil pencarian Bing dan situs ritel yang telah diretas sebelum akhirnya tiba di laman unduhan Claude palsu.

Lebih lanjut, Push Security menemukan dua lapisan penyamaran yang membatasi pengiriman muatan berbahaya sekaligus berupaya menyembunyikannya dari pengunjung yang tidak diinginkan.

Situs yang telah disusupi memiliki pemeriksaan di sisi server melalui pengalihan HTTP 302. Pemeriksaan ini mengharuskan pengujung datang dengan informasi perujuk Bing dan header browser tertentu.

Sementara itu, situs Claude palsu memiliki pemeriksaan terpisah menggunakan JavaScript yang membaca nilai document.referrer. Jika nilai tersebut tidak memuat Google atau Bing, pengguna akan diarahkan ke laman 404.

Menurut Push Security, laman terakhir yang ditampilkan merupakan tiruan laman unduhan Claude yang dirancang dengan rapi. Laman ini menyediakan tombol "Download for macOS" dan perintah instalasi satu baris untuk terminal.

Langkah instalasinya memiliki dua bentuk penyamaran. Laman tersebut akan menampilkan perintah asli milik Anthropic, namun ketika pengguna mengeklik tombol Copy, perintah berbeda justru disalin ke papan clip atau clipboard.

Perintah yang ditempelkan akan menampilkan teks "Downloading Claude: htpps://claude.ai/install[.]sh" di terminal. Setelah itu, perintah tersebut akan menerjemahkan URL tersembunyi dan meneruskan skrip dari lake-90[.]com ke zsh untuk dijalankan.

Dengan demikian, pengguna yang membaca laman tersebut dan memperhatikan terminal akan melihat tautan Claude yang sah pada kedua kesempatan tersebut.

"Kami telah mengidentifikasi beberapa domain terkait dengan serangan ClicFlix yang sama, yaitu toolkit kriminal. Secara internal, kami melacaknya dengan nama AcSig, berdasarkan header yang harus dikirim bersama HMAC agar perintah berbahaya dapat diambil," kata Push Security.

Semua domain tersebut menggunakan perintah macOS yang identik, pola tautan muatan berbahaya yang sama, serta kode jendela instalasi yang serupa.