Мошенническая реклама в Google распространяет похититель данных MacSync под видом установки Claude Code

Реклама с заголовком "Claude Code Mac" отображалась на первой позиции в выдаче. При переходе пользователь попадал на настоящую страницу claude.ai, созданную злоумышленниками. Страница была оформлена как руководство от "Apple Support", что добавляло убедительности. Домен был подлинным, интерфейс - оригинальным, и только сама команда установки содержала скрытый элемент. Вместо привычного "curl | bash" использовалась конструкция с кодированием и подстановкой.

Команда для установки содержала закодированную в Base64 строку и механизм подстановки "$(...)". После декодирования оболочка подставляла реальный адрес загрузки, который оставался невидимым для пользователя. Curl получал команду игнорировать проверку сертификата (ключ "-k") и соединялся с посторонним доменом hybridcustomhomes[.]com. По данным разведки CrowdStrike Intelligence, этот домен использовался для доставки вредоносной нагрузки и связи с командным центром. Подобная техника позволяет обойти привычную проверку: читая команду, нельзя понять, куда на самом деле пойдёт запрос.

Инфраструктура кампании включала несколько подставных доменов, замаскированных под сайты местных компаний: houstongaragedoorinstallers[.]com и mansfieldpediatrics[.]com. Эти домены были приобретены заранее, вероятно, на площадках для продажи "состаренных" адресов, чтобы не вызывать подозрений при регистрации. За одним идентификатором рекламной кампании было закреплено не менее двух разных страниц claude.ai/share, что затрудняет блокировку всей схемы.

MacSync - это похититель данных для macOS, нацеленный на высокоценную информацию. Он извлекает пароли из связки ключей, сохранённые сессионные cookie браузеров, а также ключи SSH, облачные учётные записи и токены разработчиков (npm, PyPI). Кроме того, вредоносное ПО крадёт данные более чем 80 криптовалютных кошельков и способно подменять приложение Ledger Live для перехвата seed-фраз. Закрепление в системе происходит через агент запуска, замаскированный под обновление Google Keystone. Эксфильтрация данных может занимать секунды.

Кампания наглядно демонстрирует, почему проверка одного лишь домена больше не является достаточной мерой безопасности. Страница была на настоящем claude.ai, интерфейс - подлинным, авторство приписано "Apple Support". Команда не содержала очевидной цепочки "curl | sh", а адрес загрузки был скрыт кодированием. Пользователи, привыкшие доверять знакомым доменам и брендам, не заподозрили обмана.

Для защиты от подобных атак следует устанавливать Claude Code только через официальную документацию Anthropic. Легитимные команды используют прямой URL "https://claude.ai/install.sh" и не содержат кодирования, подстановок или отключения проверки сертификата. Любую команду с "$(...)", Base64, ключом "-k" или адресом, не относящимся к вендору, нужно декодировать и проверить в изолированной среде. Использование блокировщиков рекламы на управляемых устройствах снижает риск наткнуться на вредоносное объявление.

Если команда уже была выполнена, устройство следует считать полностью скомпрометированным. Необходимо немедленно изолировать его от сети, сменить все пароли и ключи доступа на чистом устройстве, отозвать токены разработчиков, переместить криптовалюту на новые кошельки и переустановить операционную систему. Удаление только похитителя данных не гарантирует безопасности, так как подменённое приложение Ledger Live может оставаться вредоносным. Инцидент следует сообщить в службу безопасности Anthropic и через форму жалобы на странице claude.ai/share, приложив идентификатор рекламной кампании для полного расследования.

IPv4

• 104.21.40.24
• 172.67.174.150

Domain

• houstongaragedoorinstallers.com
• hybridcustomhomes.com
• mansfieldpediatrics.com

SHA256

• ae89034f81cb488b67a27ebe66e21a5a60098a6dc7271dd18be883bf221b02bf
• da59496b565f5ea96a26b5b0fd05df44b2d3d6acc0f971a88015a447b6d66088