Bingのリダイレクトを悪用したClickFix攻撃、偽のClaudeインストールページで悪意のあるコマンドの実行を誘導
Google AdsとBingのリダイレクトを悪用、偽のClaudeインストールページへ誘導
Google AdsとBingのリダイレクト機能を悪用し、利用者を偽のClaudeインストールページへ誘導するClickFix型のマルバタイジング攻撃が確認された。攻撃者は、Bingの正規ドメインを経由することでGoogleの広告審査を回避しようとする「Adception」と呼ばれる手法を使用している。広告をクリックした利用者は、複数のリダイレクトを経て侵害されたWebサイトへ誘導され、最終的に悪意のあるコマンドを実行するよう促される。この攻撃では、正規サービスのドメインをリダイレクト経路に組み込むことで、不正な誘導先を判別しにくくしている。
Bingの正規ドメインを経由する広告リダイレクト
今回の攻撃では、Bingが提供する正規のリダイレクト機能が悪用されている。利用者が広告をクリックすると、Googleの広告リダイレクトを経由して、Bingのクリック追跡エンドポイント「bing.com/ck/a」に接続される。その後、攻撃者によって侵害されたWordPressサイトへ転送される仕組みとなっている。
攻撃者は、リダイレクト経路にBingのドメインを含めることで、広告のリンク先が正規のサービスに関連しているように見せかけている。これにより、利用者が不審なWebサイトへの誘導に気付きにくくなるほか、広告審査やURLの自動分析において、最終的な攻撃ページが直接確認されにくくなる可能性がある。
リファラーとブラウザ情報を利用したアクセス制御
攻撃者は、セキュリティ分析ツールなどによる直接アクセスを制限するため、複数の条件に基づくリダイレクト制御を実装している。侵害されたWordPressサイトでは、Bingからのアクセスを示すリファラー情報や特定のブラウザヘッダーを確認し、条件を満たした訪問者のみを次のページへ転送する。
さらに、偽のClaudeインストールページでも、利用者がGoogleやBingを経由してアクセスしたかどうかを確認する仕組みが用いられている。こうしたアクセス元の検証により、攻撃者が想定していない経路からの接続を制限し、セキュリティ研究者や自動化された分析システムが攻撃ページやペイロードに到達することを難しくしている。
偽のClaudeインストール手順で悪意のあるコマンドを実行
最終的な誘導先となる偽のClaudeインストールページでは、利用者にmacOSのターミナルを使用したインストール手順が提示される。ページ上のコマンドをコピーするよう促す仕組みが組み込まれており、利用者が操作すると、クリップボードに悪意のあるコマンドがコピーされる。
このコマンドは、Anthropicが提供する正規のインストール手順に見せかけているが、実際にはBase64でエンコードされた悪意のあるペイロードをデコードして実行するよう設計されている。利用者がコピーしたコマンドをターミナルに貼り付けて実行すると、正規ソフトウェアをインストールしているつもりでも、不正なプログラムのダウンロードや実行につながる可能性がある。
今回の攻撃では、広告配信サービスのリダイレクト機能、侵害されたWordPressサイト、アクセス元を確認する仕組みが組み合わされている。セキュリティ担当者は、広告経由のアクセスにおける不審なリダイレクトや、正規サービスを装ったインストールページからのコマンド実行を確認することで、関連する攻撃活動の検出につなげられる。また、ブラウザからターミナルでの操作を促すページや、Base64でエンコードされたコマンドの実行履歴も、調査対象となる。
