Adception : malvertising via Google Ads pointant vers Bing pour livrer un faux installateur Claude

🔍 Contexte

Publié le 9 octobre 2026 par Luke Jennings (VP R&D, Push Security), cet article décrit la découverte et l’analyse technique d’une campagne de malvertising baptisée « Adception », détectée dans l’environnement d’un client de Push Security.

🎯 Description de l’attaque

La chaîne d’attaque commence par une publicité Google sponsorisée ciblant la requête claude mac, dont le domaine affiché est bing.com. La chaîne de redirection complète est la suivante :

1. google.com/aclk?... → redirection 302 (ad-click Google)
2. bing.com/ck/a?... → redirection JavaScript 200 (click-tracker Bing, destination encodée en base64 dans le paramètre u)
3. homeopatiaalemana[.]com/quienes-somos/ → page légitime d’un détaillant sud-américain compromis, redirection 302 conditionnelle
4. claude-desk-code[.]com → fausse page de téléchargement Claude (200)

🛡️ Techniques de cloaking

Deux couches de dissimulation sont employées :

• Côté serveur : le site compromis vérifie le referrer Bing et certains headers HTTP avant de rediriger
• Côté client : la fausse page Claude lit document.referrer via JavaScript et redirige vers /404.html si le referrer ne contient pas Google ou Bing

💻 Payload : InstallFix / ClickFix

La page finale imite fidèlement la page de téléchargement Claude d’Anthropic. Elle affiche la commande légitime curl -fsSL https://claude.ai/install.sh | bash, mais le bouton Copy place dans le presse-papiers une commande différente :

Cette commande décode une URL base64 pointant vers lake-90[.]com et pipe le script résultant dans zsh.

🗂️ Cluster AcSig

Push Security relie cette campagne à un toolkit ClickFix suivi en interne sous le nom AcSig, caractérisé par des headers HMAC requis pour récupérer la commande malveillante, une commande macOS identique, une forme d’URL de payload identique et un code de modal d’installation identique. Plusieurs domaines de leurre/livraison sont associés à ce cluster.

📊 Type d’article

Analyse technique détaillée d’une campagne de malvertising active, publiée par un éditeur de sécurité à des fins de documentation CTI et de sensibilisation, accompagnée d’IoCs.

🧠 TTPs et IOCs détectés

TTP

• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1584.001 — Compromise Infrastructure: Domains (Resource Development)
• T1608.006 — Stage Capabilities: SEO Poisoning (Resource Development)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1204.002 — User Execution: Malicious File (Execution)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1102 — Web Service (Command and Control)

IOC

• Domaines : claude-desk-code.com — VT · URLhaus · ThreatFox
• Domaines : ksmgakajgpsals.pages.dev — VT · URLhaus · ThreatFox
• Domaines : rapid-craft567.com — VT · URLhaus · ThreatFox
• Domaines : too.clawddddd.com — VT · URLhaus · ThreatFox
• Domaines : fine-byte2.com — VT · URLhaus · ThreatFox
• Domaines : fairpoint29.com — VT · URLhaus · ThreatFox
• Domaines : turbowave45.com — VT · URLhaus · ThreatFox
• Domaines : cli-desktop.com — VT · URLhaus · ThreatFox
• Domaines : homeopatiaalemana.com — VT · URLhaus · ThreatFox
• Domaines : lake-90.com — VT · URLhaus · ThreatFox
• URLs : https://homeopatiaalemana.com/quienes-somos/ — URLhaus
• URLs : https://lake-90.com/curl/inhgup9a/a90fkbqdg8d0mus64oh8dw.dat — URLhaus

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 12 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• ClickFix (other)
• InstallFix (other)

🟢 Indice de vérification factuelle : 65/100 (haute)

• ⬜ pushsecurity.com — source non référencée (0pts)
• ✅ 12868 chars — texte complet (fulltext extrait) (15pts)
• ✅ 12 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/5 IOCs confirmés (ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 10 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• claude-desk-code.com (domain) → VT (10/92 détections)
• ksmgakajgpsals.pages.dev (domain) → VT (3/92 détections)
• rapid-craft567.com (domain) → VT (12/92 détections)

🔗 Source originale : https://pushsecurity.com/blog/adception-malvertising-another-search-engines-search-results