עמוד ההורדה נראה בדיוק כמו של Anthropic, והפקודה שמוצגת עליו היא פקודת ההתקנה האמיתית של Claude ל-Mac. הבעיה היא כפתור ההעתקה שלידה. מי שלוחץ עליו מקבל ללוח ההעתקה פקודה אחרת, שמדפיסה בטרמינל את אותה כתובת אמיתית של Claude ובאותו זמן מורידה ומריצה סקריפט משרת של התוקפים.

מה קרה

חברת האבטחה Push Security פרסמה ביום שישי ניתוח של קמפיין שהתחיל בחיפוש רגיל בגוגל. מי שחיפש "claude mac" קיבל מודעה ממומנת, והדומיין שהופיע מתחתיה לא היה חיקוי של Anthropic אלא bing.com. לחיצה על המודעה שלחה את הדפדפן דרך מערכת הפרסום של גוגל אל כלי מדידת הקליקים של בינג, משם לעמוד "אודות" של חנות הומאופתיה אמיתית בדרום אמריקה שנפרצה, ומשם אל claude-desk-code, עמוד שמחקה את עמוד ההורדה של Claude.

השרשרת הזאת היא כל הרעיון. כל מסנן בדרך, ממערכת אישור המודעות של גוגל ועד הקורא שמעיף מבט בכתובת לפני שהוא לוחץ, בוחן כתובת אחת ומחליט לפיה, ולכן תוקף שמעמיד בחזית שלוש כתובות לגיטימיות קונה אמינות בזול.

העמוד עצמו מבקש מהמשתמש להעתיק שורה אחת ולהדביק אותה בטרמינל, כאילו זאת ההתקנה הרגילה. לדפוס הזה קוראים ClickFix, והוא עובד כי הוא לא מבקש מהקורא לאשר שום דבר חשוד, אלא רק לעשות את מה שתוכנות אמיתיות מבקשות ממנו ממילא. לפי Push, הפקודה שנשתלה בלוח ההעתקה מפענחת כתובת שהוסתרה בקידוד base64 ומזרימה את מה שמגיע משם ישר ל-shell של macOS, כלומר להרצה מיידית. מה הותקן בסוף לא ידוע: החוקרים לא הגיעו למטען הסופי, והם מדגישים שאינם יודעים אם הותקנה נוזקה ומאיזה סוג.

למה זה חשוב לכם

העצה הרגילה, להסתכל על הדומיין לפני שלוחצים, לא הייתה עוזרת כאן. הדומיין היה של מיקרוסופט.

Push מספרת שארבע מכל חמש מתקפות ClickFix שהיא מזהה מגיעות למשתמשים דרך מנועי חיפוש, כלומר דרך הדרך שבה רוב האנשים מחפשים תוכנה חדשה. הקמפיין הזה כוון ל-Mac, אבל אותו דפוס בדיוק רץ מול משתמשי Windows, עם חלון ההרצה במקום הטרמינל.

מה עושים?

אל תתקינו תוכנה מתוצאה ממומנת. הקלידו את הכתובת הרשמית בעצמכם, או הגיעו אליה מהאתר של היצרן.

אל תדביקו בטרמינל פקודה שהעתקתם מעמוד אינטרנט. אם אתם חייבים, הדביקו אותה קודם לעורך טקסט ותראו מה באמת נמצא בלוח, כי מה שמוצג על המסך ומה שהועתק אינם בהכרח אותו דבר.

סימן מובהק בפקודה כזאת: קידוד base64 שמסתיר כתובת, או הורדה מדומיין שאינו של היצרן שמוזרמת ישר להרצה.

אם כבר הרצתם פקודה כזאת, החליפו ממכשיר אחר את הסיסמאות ששמורות בדפדפן ובמחשב, והפעילו אימות דו-שלבי בחשבונות המרכזיים.

השרשרת הזאת עברה דרך שני מנועי חיפוש ואתר מסחרי אמיתי, ואף אחד מהם לא בחר להשתתף בה. זה בדיוק מה שהפך אותה לאמינה.