Пользователей Mac атакуют через поддельные чаты Claude и рекламу Google

Специалисты по кибербезопасности обнаружили новую мошенническую схему, направленную на владельцев компьютеров Apple. Злоумышленники используют функцию Shared Chats (публичные диалоги) платформы Claude и рекламную сеть Google для распространения вредоносного ПО, предназначенного для кражи конфиденциальных данных.

Механика обмана через функции ИИ

Как сообщил исследователь безопасности Берк Албайрак, кампания строится на эксплуатации функции общего доступа к диалогам в нейросети Claude. Эта опция позволяет пользователям создавать публичные ссылки на свои переписки с искусственным интеллектом. Мошенники создают чаты, в которых имитируют инструкции по установке Claude Code — официального инструмента командной строки для разработчиков.

В этих диалогах применяется тактика, известная как ClickFix. Пользователю предлагают скопировать и вставить специальную команду в «Терминал» (стандартное приложение macOS для управления системой через текстовые команды). Выполнение этого кода запускает цепочку заражения, в результате которой на компьютер устанавливается инфостилер — программа, похищающая пароли, данные банковских карт и файлы из браузеров.

Использование Google Ads для маскировки

Для привлечения жертв злоумышленники закупали контекстную рекламу в поисковой сети. При поиске по запросу «Claude Code on Mac» ссылка на поддельный чат отображалась на первой позиции в результатах выдачи. Схема оказалась особенно эффективной благодаря нескольким факторам:

• При наведении курсора на рекламную ссылку отображался подлинный домен claude.ai, что усыпляло бдительность пользователей.
• Аккаунт, создавший чат, был назван Apple Support, чтобы придать инструкции легитимный вид.
• Несмотря на наличие в верхней части чата предупреждения от самой платформы Claude о том, что контент может быть небезопасным, многие пользователи игнорировали этот дисклеймер.

Особенности вредоносного ПО

В ходе технического анализа выяснилось, что используемое хакерами ПО имеет специфический фильтр. По данным экспертов, вирус автоматически прекращает работу, если в операционной системе в качестве основного установлен русский язык. Это может указывать на то, что разработчики вредоносного кода намеренно избегают атак на пользователей из определенных регионов, чтобы снизить риски преследования со стороны местных правоохранительных органов.

Твитнуть