Ciberdelincuentes difunden instaladores falsos de Claude para Mac a través de anuncios en Google

Ciberdelincuentes utilizaron anuncios de Google que mostraban el dominio de Bing para dirigir a usuarios de macOS a instaladores falsos de Claude, una maniobra que buscaba que ejecutaran malware en el ordenador de Apple bajo la apariencia de una descarga legítima del asistente de inteligencia artificial (IA) de Anthropic.

La campaña fue detectada tras una búsqueda del término “claude mac”.

El anuncio exhibía bing.com, un detalle diseñado para dar una apariencia confiable al enlace y favorecer el clic de la víctima.

La firma Push Security denominó a esta modalidad Adception, una técnica que combina publicidad maliciosa , redirecciones mediante dominios reconocidos y engaños de ingeniería social para llevar al usuario a una página falsa.

Cómo opera este ciberataque en la web El recorrido comienza cuando la persona pulsa el anuncio y atraviesa varias redirecciones: Google , el sistema de seguimiento de clics de Bing y un sitio de WordPress vulnerado perteneciente a un comercio sudamericano.

El destino es una página creada para que los usuarios de Mac crean que están frente a un instalador auténtico.

El sitio falso no permite el acceso directo.

Solo se carga si la visita proviene de Google o Bing, una condición que dificulta que investigadores y herramientas automatizadas detecten la operación.

La página invita a instalar la aplicación mediante un comando en el computador.

Sin embargo, el botón para copiar el supuesto código de instalación altera el contenido que termina pegándose en el dispisitivo.

En pantalla, la víctima puede ver el comando legítimo de Anthropic , “curl -fsSL https://claude.ai/install.sh | bash”.

Al copiarlo, recibe otro comando malicioso, una sustitución que aprovecha la confianza generada por la instrucción visible.

Qué tipo de malware se instala en el dispositivo Push Security no pudo determinar qué tipo de programa dañino se instala después de la ejecución.

La firma sí identificó varios dominios asociados con el mismo conjunto de herramientas de ClickFix , una técnica que induce a las propias víctimas a ejecutar código malicioso en sus dispositivos.