Кампания Malvertising под видом AI-инструментов использует доверенные домены Claude и GitLab для атак на разработчиков

Исследователи Trend Micro выявили масштабную рекламную кампанию, в рамках которой злоумышленники злоупотребляли Google Ads и доверенными доменами Claude AI и GitLab Pages для доставки вредоносных команд. Кампания, получившая название ClickFix, была нацелена на разработчиков, активно ищущих инструменты искусственного интеллекта, и продлилась с 8 апреля по 14 июня 2026 года. За семь недель операторы развернули 106 уникальных вредоносных доменов в шести последовательных волнах атак, постоянно меняя инфраструктуру и тестируя новые приманки.

Описание

Основной вектор атаки строился на социальной инженерии. Пользователи, выполнявшие поисковые запросы по ключевым словам Claude, ChatGPT Codex, Perplexity, Cursor IDE, JetBrains и другим AI-продуктам, видели спонсируемые объявления в Google. Клик по такому объявлению перенаправлял жертву на страницу, размещённую либо на поддомене gitlab.io, либо непосредственно на claude.ai с использованием функции shared chat. В обоих случаях злоумышленники эксплуатировали репутацию легитимных платформ: *.gitlab.io - это статический хостинг GitLab, а claude.ai - официальный домен Anthropic. Это позволяло обходить типичные фильтры URL, предупреждения браузера и механизмы Safe Browsing.

Согласно отчёту Trend Micro, первые волны атак использовали GitLab Pages: было создано 92 вредоносных домена с именами, имитирующими официальные страницы загрузки AI-инструментов. Например, claude-code-app.gitlab.io, chatgpt-codex.gitlab.io, perplexity-platform.gitlab.io. Злоумышленники быстро ротировали эти домены, чтобы уйти от блокировок. Однако ключевой тактический прорыв произошёл в пятой волне, когда операторы перешли на использование функции shared chat в Claude AI. Вместо того чтобы вести жертву на сторонний сайт, реклама направляла пользователя прямо на легитимную страницу claude.ai/share/<UUID>. Там размещался фальшивый диалог с поддержкой - якобы от имени Apple Support или Corda Team, - который инструктировал жертву открыть терминал и выполнить команду curl с кодировкой base64. После декодирования эта команда загружала и запускала infostealer MacSync.

Установлено не менее 45 уникальных идентификаторов shared conversation на Claude, которые использовались в пятой волне, и 61 - в шестой. Наиболее активный диалог (498818d9-1ddc-4fbb-9fa7-56dfb84840b0) получил 55 подтверждённых обращений из разных стран. Сама команда, которую предлагалось вставить, представляла собой curl, передающий base64-строку. Декодированная строка вела на внешний скрипт loader.sh, который проверял раскладку клавиатуры: если включена русская раскладка, скрипт прекращал выполнение (вероятно, попытка избежать поражения пользователей из СНГ). В противном случае загружался MacSync - вредонос, который собирал пароли браузера, cookies, SSH-ключи и файлы криптокошельков, а затем передавал их на удалённый сервер.

Географическое распределение жертв показывает целенаправленное нацеливание на Азиатско-Тихоокеанский регион: 67,4% всех подтверждённых инцидентов пришлось на страны APAC. Тайвань стал абсолютным лидером - 30,5% всего трафика (772 обращения). Следом идут Япония (201 обращение) и Сингапров (188). После перехода на Claude shared chat география расширилась: в пятую волну чаще всего атаковали Сингапур, Тайвань, Индию, Италию и Францию. Это указывает на то, что операторы тонко настраивали географический таргетинг рекламы Google, используя данные эффективности предыдущих волн.

Особую опасность представляет использование Claude shared chat: жертву не настораживает переход на claude.ai, так как домен абсолютно доверенный. Визуальное оформление диалога имитировало поддержку Apple или команду Corda, с профессиональными заголовками и инструкциями. У пользователя не возникает подозрений при копировании команды в терминал, особенно если он ранее сталкивался с необходимостью установки инструментов через командную строку. Таким образом, традиционные защитные механизмы теряют эффективность: нет сомнительного домена, нет опечаток для фильтров, нет низкорепутационного хоста для блокировки.

По уведомлению Trend Micro компания Anthropic провела расследование, заблокировала учётные записи, с которых создавались вредоносные shared-диалоги, и внедряет дополнительные меры по предотвращению злоупотребления этой функцией. Тем не менее, исследователи предупреждают, что подобные атаки будут множиться. По мере того как инструменты AI становятся неотъемлемой частью рабочих процессов разработчиков, злоумышленники всё активнее эксплуатируют доверие к AI-платформам.

Кампания продемонстрировала несколько эволюционных шагов: от использования GitLab Pages до полного перехода на легитимный домен Claude, от подражания одному бренду (Claude) до шести разных AI-продуктов, и от таргетинга на Тайвань до глобального охвата. Операторы постоянно тестировали ключевые слова и приманки, чтобы максимизировать вовлечение. Например, бренды Claude и ChatGPT Codex привлекали наибольший трафик, а Perplexity и Cursor IDE использовались как дополнительные ниши. Параллельно с AI-темами та же инфраструктура продвигала утилиты для очистки диска на Mac (mac-clean-storage, fixmymac), что указывает на единого оператора, диверсифицирующего портфель приманок.

Разработчикам и пользователям AI-инструментов следует предпринять несколько шагов для снижения риска. Установку любого ПО лучше выполнять через официальные сайты, вводя адрес вручную, а не переходя по рекламе в поисковике. Любые инструкции, требующие копирования закодированных команд из браузера в терминал, должны вызывать немедленные подозрения. Использование официальных пакетных менеджеров (brew, pip, npm) для установки инструментов разработчика предпочтительнее веб-инструкций. Платформам необходимо усилить верификацию рекламы, направленной на поддомены gitlab.io и shared-ссылки AI-сервисов. Anthropic уже работает над механизмами обнаружения злоупотреблений своей функцией общего доступа, но пользователям стоит сохранять бдительность даже на полностью легитимных сайтах.