Hackers abuse Google ads, Claude.ai chats to push Mac malware
Mis à jour :
Campagne de malvertising exploitant les partages de chat Claude.ai
Une campagne active de publicité malveillante (malvertising) cible les utilisateurs de macOS via des résultats sponsorisés sur Google. Les attaquants détournent la fonctionnalité de partage de conversations de Claude.ai pour inciter les victimes à exécuter des commandes malveillantes dans leur terminal.
Points clés :
- Vecteur d’attaque : Des publicités Google légitimes redirigent vers des liens de partage Claude.ai authentiques, configurés pour ressembler à des guides d’installation officiels (ex: “Claude Code on Mac”).
- Méthode : Les victimes sont incitées à copier-coller un script encodé en base64 dans leur terminal. Ce script télécharge des charges utiles polymorphes exécutées directement en mémoire pour contourner la détection.
- Objectifs : Profilage des victimes, exécution de code à distance (RCE) via
osascript, et vol de données sensibles (identifiants de navigateur, cookies, trousseau macOS). Une variante identifiée correspond au voleur d’informations (infostealer) MacSync. - Technique d’évasion : Les scripts vérifient la configuration linguistique de la machine (excluant les régions russophones) pour filtrer les cibles et échapper à l’analyse des chercheurs en sécurité.
Vulnérabilités :
- Il ne s’agit pas d’une vulnérabilité logicielle (CVE) spécifique, mais d’un abus de fonctionnalités légitimes (ingénierie sociale via les chats partagés et exécution de commandes arbitraires par l’utilisateur).
Recommandations :
- Éviter les liens sponsorisés : Accédez directement aux sites officiels en saisissant l’URL dans la barre d’adresse plutôt que de cliquer sur les annonces publicitaires.
- Méfiance vis-à-vis des terminaux : Ne jamais copier-coller des commandes provenant de sources tierces, de chats ou de forums non officiels dans votre terminal.
- Utiliser les sources officielles : Pour les outils comme Claude Code CLI, suivez uniquement la documentation publiée directement sur le portail officiel de l’éditeur.