Badacze z Push Security odkryli wyrafinowaną kampanię typu "Adception", która wykorzystuje reklamy w wyszukiwarce Google do kierowania użytkowników na fałszywe strony pobierania asystenta AI Claude. Atak zaczyna się od kliknięcia w sponsorowany wynik, który poprzez legalne przekierowania Bing prowadzi do przejętej witryny WordPress, a ostatecznie na stronę imitującą oficjalny proces instalacji na macOS.
Mechanizm oszustwa opiera się na technice cloaking, która pozwala atakującym ukrywać złośliwą treść przed skanerami bezpieczeństwa. Strona sprawdza pochodzenie ruchu i wyświetla fałszywy instalator tylko tym użytkownikom, którzy przyszli z konkretnych wyszukiwarek. Dzięki temu osoby próbujące bezpośrednio sprawdzić adres mogą trafić na zwykły błąd 404.
Najbardziej niebezpiecznym elementem jest manipulacja poleceniem w Terminalu. Strona wyświetla użytkownikowi pozornie bezpieczną komendę, jednak przycisk „Kopiuj” umieszcza w schowku zupełnie inny, zakodowany w Base64 ciąg znaków. Po wklejeniu i uruchomieniu, użytkownik widzi komunikat o pobieraniu z oficjalnej strony, podczas gdy w rzeczywistości jego system wykonuje skrypt z serwera kontrolowanego przez przestępców.
Atak ten jest wariantem techniki InstallFix (pochodnej ClickFix), która polega na nakłanianiu ofiar do samodzielnego wykonania złośliwego kodu pod pozorem instalacji lub naprawy oprogramowania. Choć dokładne działanie końcowego payloadu nie zostało jeszcze w pełni określone, uruchomienie takiej komendy daje atakującemu możliwość przejęcia kontroli nad systemem z uprawnieniami użytkownika.
