Abertura
Hackers aproveitaram a infraestrutura de anúncios do Google e os redirecionamentos de resultados de busca do Bing para distribuir instaladores falsos do Claude, que carregam o malware ClickFix. A prática foi detectada por analistas da BleepingComputer, que observaram um aumento de tráfego suspeito envolvendo cliques em anúncios legítimos seguidos de redirecionamentos para páginas de download não autorizadas. Usuários que clicam nesses anúncios são encaminhados para sites que imitam a página oficial do Claude, induzindo a instalação de um executável que, ao ser executado, instala o ClickFix sem o conhecimento do usuário.
Contexto
Nos últimos anos, a cadeia de suprimentos de anúncios online tem sido alvo frequente de abusos, pois permite que atores maliciosos inseram links maliciosos em ambientes de alta confiança. O Google Ads, por exemplo, oferece URLs de clique que redirecionam para destinos finais após verificações de segurança. Paralelamente, o Bing mantém um mecanismo de redirecionamento de resultados de busca que, quando usado corretamente, encaminha usuários para sites relevantes. Nesse cenário, os criminosos combinaram ambos os vetores, criando um fluxo que parte de um anúncio do Google, passa por um redirecionamento do Bing e termina em um site de phishing que hospeda o instalador falsificado do Claude.
Impacto
Até o momento, a campanha parece ter atingido usuários em múltiplas regiões, embora a BleepingComputer não tenha divulgado números precisos de vítimas. O risco principal recai sobre a instalação inadvertida do ClickFix, que pode abrir portas para roubo de credenciais, captura de telas e execução de comandos remotos. Empresas que utilizam o Claude em ambientes corporativos podem enfrentar comprometimento de dados sensíveis caso funcionários baixem o instalador enganoso. Além disso, a confiança nos sistemas de anúncios pode ser abalada, levando anunciantes a revisar políticas de verificação de URLs.
Detalhes técnicos
Do ponto de vista técnico, o ataque inicia quando o usuário clica em um anúncio de busca do Google que contém uma URL de clique encurtada. Essa URL encaminha o tráfego para o mecanismo de redirecionamento do Bing, que, por sua vez, aponta para um domínio controlado pelos criminosos. O site de destino reproduz a interface visual da página oficial do Claude, incluindo logotipos e descrições de recursos, mas altera o link de download para um executável malicioso. Ao ser executado, o ClickFix instala componentes persistentes no sistema, modifica chaves de registro para garantir reinicialização automática e estabelece comunicação com servidores de comando e controle para receber instruções adicionais. Não há exploração de vulnerabilidades de software conhecidas; o vetor depende exclusivamente de engenharia social e da confiança implícita nos canais de anúncio.
Encerramento
Especialistas recomendam que usuários verifiquem cuidadosamente a origem de qualquer instalador, especialmente quando proveniente de links de anúncios ou redirecionamentos de busca. Administradores de TI devem reforçar políticas de bloqueio de executáveis não assinados e monitorar tráfego de rede em busca de comunicações com servidores suspeitos associados ao ClickFix. O Google e a Microsoft foram notificados sobre a prática e, segundo a fonte, já estão analisando medidas para impedir o abuso de seus sistemas de redirecionamento. A BleepingComputer continuará acompanhando a evolução da campanha e divulgará atualizações conforme novas informações surgirem.