Fałszywa reklama Claude: domena Bing i podmienione polecenie

9 października Push Security opisało kampanię zaczynającą się od reklamy Google dla wyszukiwania „claude mac”. Reklama pokazywała domenę Bing, a przekierowania prowadziły przez przejętą stronę sprzedawcy do fałszywego instalatora Claude. Badacze nazwali ten wariant Adception. Obserwowany scenariusz dotyczył użytkowników macOS. Źródło: analiza Push Security.

Na fałszywej stronie przycisk kopiowania podmieniał widoczne polecenie instalacji na polecenie uruchamiające skrypt napastnika. Badacze opisali to w powyższym raporcie.

Wniosek Breachroad: organizacja powinna dać pracownikowi prostą drogę do zatwierdzonego oprogramowania i zgłoszenia nietypowej instrukcji instalacji. Rozpoznanie nazwy znanej domeny na pierwszym etapie nie wystarcza do oceny całej ścieżki. Poniższe działania są naszymi rekomendacjami dla użytkowników i zespołów IT.

Sygnałem jest żądane działanie

Zwróć uwagę na moment, w którym strona prosi o otwarcie terminala i uruchomienie skopiowanej treści. W naszym planie taką instrukcję trzeba zweryfikować poza samą reklamą. Tekst o pobieraniu popularnego narzędzia AI nie zastępuje zatwierdzenia instalacji na firmowym komputerze.

Nie rozstrzygaj autentyczności na podstawie logo, wyglądu przycisku czy komunikatu wyświetlonego przez skrypt. Użytkownik potrzebuje wiedzieć, gdzie firma udostępnia dopuszczone narzędzia i do kogo kieruje pytania. To ważne także dla osób technicznych, które na co dzień korzystają z terminala.

Gdy podejrzana strona jest jeszcze otwarta

Zalecamy przerwać czynność i nie wykonywać dalszych instrukcji. Zanotuj adres widocznej strony, przybliżony czas oraz to, jak do niej trafiłeś. Jeśli możesz bez dodatkowej interakcji zachować zrzut ekranu, dołącz go do firmowego zgłoszenia.

Opis powinien rozróżniać trzy etapy: otwarcie strony, skopiowanie treści i jej uruchomienie. Zespół reagowania potrzebuje faktycznego przebiegu, również wtedy, gdy pracownik nie pamięta wszystkich szczegółów. Nie wracaj do strony tylko po to, aby odtworzyć podejrzane polecenie lub ponownie kliknąć przycisk.

Nie wysyłaj schowka ani historii terminala do przypadkowego narzędzia analitycznego. Mogą zawierać dane związane z innymi zadaniami. Użyj zatwierdzonego kanału zgłoszenia i ustal z IT, jakie materiały są potrzebne do analizy.

Jeśli polecenie zostało uruchomione

W naszym planie pracownik natychmiast zgłasza zdarzenie, podaje urządzenie oraz użyte konto i czeka na instrukcję zespołu reagowania. Nie próbuje samodzielnie „naprawiać” sytuacji kolejnym skryptem z internetu. Dalsze decyzje powinny uwzględniać faktyczne działania procesu oraz uprawnienia konta.

Zalecamy, aby IT oceniło dostępne zdarzenia urządzenia, połączenia i zmiany, zachowało istotne dowody oraz zdecydowało o izolacji i odtworzeniu. Zmiany haseł lub sesji dobiera się do ustalonego zakresu incydentu. Samo zamknięcie terminala nie wyjaśnia, co wcześniej wykonał pobrany skrypt.

Co przygotować po stronie organizacji

Proponujemy trzy konkretne ustalenia:

1. Miejsce pobierania. Udostępnij pracownikom zatwierdzoną ścieżkę instalacji narzędzi AI. Powinna być łatwa do odnalezienia również dla osoby, która używa danego programu po raz pierwszy.
2. Ścieżka wyjątku. Wskaż, kto ocenia narzędzie nieobecne w katalogu i gdzie zgłasza się nietypową instrukcję. Pracownik potrzebuje sposobu wykonania zadania bez improwizowania przy instalacji.
3. Obsługa zgłoszenia. Przygotuj pytania o czas, urządzenie i wykonane czynności. Szybkie zgłoszenie powinno pomagać w ustaleniu zakresu, a nie wymagać od użytkownika samodzielnej diagnozy zagrożenia.

Ograniczenia techniczne i rejestrowanie zdarzeń uzupełniają tę procedurę. W naszej ocenie edukacja ma największy sens wtedy, gdy pracownik zna praktyczny następny krok i może skorzystać z niego podczas wykonywania codziennej pracy.

Ćwiczenie bez uruchamiania poleceń

Na szkoleniu pokaż fikcyjną reklamę, przykładową stronę pobierania i komunikat proszący o użycie terminala. Poproś uczestników o wskazanie miejsca, w którym zatrzymają czynność, oraz treści zgłoszenia do IT. To nasza propozycja ćwiczenia wiedzy; nie wymaga odwiedzania domen kampanii ani wykonywania skryptów.

Szerszy kontekst opisujemy w przewodniku po rozpoznawaniu phishingu i warstwach obrony. Jeśli chcesz przećwiczyć takie decyzje z pracownikami, sprawdź szkolenia z cyberbezpieczeństwa dla organizacji.