Megosztott csevegés a ClickFix-el
A Trend Micro kutatása egy új kampányt mutat be, amelyben a támadók már nem hamis weboldalakat használnak elsődleges csaliként, hanem a Claude AI megosztott beszélgetés funkcióját használják ki. A kampány során a Google Ads hirdetések népszerű AI-fejlesztői eszközök keresési eredményeit manipulálták. A felhasználó azonban nem egy gyanús domainre jutott, hanem egy legitim claude.ai URL-re, ami jelentősen növelte a hitelességet és csökkentette a hagyományos URL-alapú szűrések hatékonyságát.
A Trend Micro legalább 106 rosszindulatú hosztnevet és hat különálló kampányhullámot azonosított hét hét alatt, több mint 2000 potenciális áldozattal. A támadók a Claude megosztott beszélgetéseiben hamis telepítési útmutatókat helyeztek el, gyakran Apple Support vagy hivatalos Claude-dokumentáció látszatát keltve. A felhasználókat arra vették rá, hogy terminálparancsokat másoljanak és futtassanak saját gépükön, ami a ClickFix technika klasszikus példája. A végrehajtott parancsok különböző információlopó malware-eket, köztük a MacSync stealert töltötték le.
A modell során a támadók egy legitim, magas reputációjú szolgáltatás funkcióját használták terjesztési infrastruktúraként. Mivel a tartalom a claude.ai domainen jelent meg, a Safe Browsing, URL-reputációs rendszerek és a felhasználók megszokott ellenőrzési mechanizmusai kevésbé voltak hatékonyak. A fenyegető szereplők egyre gyakrabban használják fel megbízható platformok legitim funkcióit malware-terjesztésre.
Az AI-eszközök köré épülő fejlesztői ökoszisztéma önálló célponttá vált. A támadók nem az AI-rendszereket törték fel, hanem a Claude és más népszerű AI-márkák iránti bizalmat használták fel pszichológiai megtévesztési célokra. Ez különösen a fejlesztőket, DevOps-mérnököket és AI-eszközöket használó szakembereket érinti, akik gyakran keresnek telepítési útmutatókat és új fejlesztői eszközöket online.
