Поддельная реклама в Google внедряет стилер MacSync через фальшивые инструкции по установке Claude

Переход по такой рекламе не доставляет пользователя напрямую на сайт злоумышленников. Браузер сначала обращается к промежуточному адресу Google, который фиксирует факт клика и связывает его с конкретной кампанией. Эта особенность позволила аналитикам проследить цепочку до самого начала: в истории посещений были найдены следы перехода по объявлению с идентификатором кампании. Сама страница claude.ai была использована как доверенная приманка: она размещена на настоящем домене Anthropic, защищена тем же сертификатом и выглядит абсолютно легитимно. Никаких подозрительных доменов или предупреждений браузера пользователь не видит.

Вредоносная кампания, задокументированная Huntress, получила название MacSync. Это не просто крадущая данные программа, а многоступенчатая цепочка атаки из шести этапов, каждый из которых подготавливает почву для следующего. Первый этап - небольшой загрузчик, который жертва запускает вручную, вставив команду в Терминал. После запуска загрузчик подключается к серверу злоумышленников, загружает и исполняет скрытый сценарий. Этот сценарий написан на AppleScript, языке автоматизации macOS, и выполняется в памяти, не оставляя файла на диске.

Ключевая особенность MacSync - большая часть вредоносной логики находится на стороне злоумышленников. Сценарий загружается только после проверки секретного ключа, а значит, операторы могут менять его поведение в любой момент, не пересобирая загрузчик. Такой подход затрудняет обнаружение традиционными антивирусными продуктами, которые ищут известные файлы, а не поведение.

Сценарий сразу пытается получить расширенное разрешение macOS, известное как "Полный доступ к диску". Без него большинство защищённых данных остаются недоступными. Для убедительности мошенники выводят на экран окно с логотипом FileVault и текстом о необходимости предоставить доступ. Когда пользователь нажимает кнопку, система открывает нужную панель настроек. При этом скрытый сценарий сохраняет себя в файле конфигурации оболочки, чтобы автоматически запуститься при следующем открытии Терминала. После получения разрешения вредоносная программа приступает к сбору данных.

Среди похищаемых данных: файлы cookie и сохранённые пароли из тринадцати браузеров на основе Chromium, включая Chrome, Edge, Brave и Opera; данные из профилей Firefox и его производных; содержимое связки ключей macOS - хранилища паролей и сертификатов; переписка и сессии Telegram; ключи SSH; данные облачных сервисов, таких как AWS; файлы с рабочего стола, из документов и загрузок, включая файлы кошельков, сертификаты и заметки.

Особое внимание уделено краже пароля учётной записи самой операционной системы. Сценарий показывает поддельное окно "Системные настройки", которое просит ввести пароль для обновления параметров. Введённое значение проверяется системной утилитой, поэтому мошенники получают гарантированно действительный пароль. Он используется для принудительного открытия связки ключей, если простой способ не сработал.

На четвёртом этапе цепочки устанавливается постоянный агент - троян удалённого доступа. Он внедряется в автозагрузку через механизм LaunchAgent, который запускает программы при каждом входе пользователя в систему. Троян получает команды с сервера управления, может выполнять произвольные команды в системе, открывать интерактивную оболочку, загружать и выгружать файлы, а также делать скриншоты. Для маскировки он присваивает себе имя, похожее на системное, с префиксом com.apple. Если на компьютере установлено обновление от известных поставщиков, таких как Google или Adobe, троян маскируется под их обновляющие процессы.

Пятый компонент - отдельная программа для получения разрешения на запись экрана. Она называется "Screen Recording" и при запросе доступа выглядит как системный диалог: пользователь видит запрос от "Screen Recording", хотя на самом деле это приложение злоумышленников. После получения разрешения программа делает снимки экрана и передаёт их по тому же каналу, что и остальные данные. Такая схема позволяет мошенникам наблюдать за действиями владельца компьютера в реальном времени.

Самая опасная часть кампании - шестой этап, нацеленный на кражу криптовалют. Если на устройстве установлены приложения для работы с кошельками, MacSync создаёт их изменённые копии. Оригинальные приложения перемещаются во временную папку, а на их место помещаются модифицированные сборки. При следующем запуске кошелька пользователь видит знакомый интерфейс, но через несколько секунд перед ним появляется окно с просьбой ввести восстановительную фразу. Эта фраза представляет собой 24 слова, которые полностью контролируют все средства на кошельке. Мошенники получают её и отправляют на свой сервер. После этого никакие пароли или двухфакторная аутентификация уже не помогут.

Подмене подвергаются приложения для аппаратных кошельков Ledger и Trezor. В случае Ledger одна и та же модифицированная версия применяется и к Ledger Live, и к Ledger Wallet. В коде трояна найдены комментарии на русском языке, что указывает на разработчика, владеющего русским.

Инфраструктура кампании разделена на три уровня: домены доставки, скрытые за защитным сервисом Cloudflare; панель оператора, с которой ведётся управление; отдельный канал связи с трояном. Домены доставки имитируют названия AI-продуктов, чтобы не вызывать подозрений у тех, кто ищет установку Claude. Для сбора восстановительных фраз используются дополнительные домены, также скрытые Cloudflare.

Подобная схема не нова: ранее такие же атаки были зафиксированы при распространении стилеров через поддельные инструкции по установке ChatGPT и Grok. Однако в случае MacSync особую опасность представляет многоступенчатость и целенаправленная работа с криптокошельками. Атака не ограничивается разовым сбором данных, а устанавливает постоянное присутствие в системе и при благоприятных условиях полностью выводит средства жертвы.

Защититься от этой угрозы можно, соблюдая простые правила: переходить только на официальные сайты программ, игнорировать рекламные объявления в поисковой выдаче, не выполнять команды из подозрительных инструкций, регулярно обновлять операционную систему и использовать заслуживающие доверия антивирусные продукты. Двухфакторная аутентификация, включая защиту криптокошельков, значительно снижает риск, даже если часть данных будет скомпрометирована.

IPv4

• 103.216.221.95

IPv4 Port Combination

• 85.206.161.241:8443

Domain

• agenticsora.com
• malwareaudit.com

URL

• http://agenticsora.com/curl/
• http://agenticsora.com/dynamic?txd=[&pwd=]
• http://agenticsora.com/gate?buildtxd=&upload_id=...
• https://agenticsora.com/ledger/
• https://agenticsora.com/loader/agent/
• https://agenticsora.com/loader/capture-agent/

SHA256

• 071bd109208eb1080ef525b5be394244cec467c59ffef5b8782cfb5e4850401d
• 230dff4bf9442a951dcd6898b2110924969a20668c20a43e3ceed6fcef65963e
• 31566a1df7070f30cb990aa5eab310c1d4e0266c8776e9438138e5438ec1cff8
• 3ae26ed89d3a1a140edc89ca78513aba2895789ed0d0f64cad6605b6f2347c7e
• 3db8befc08dc02ab7a76b5193abd81653775e8f3ceac5864c7c2188b2dbd3c54
• 78dea0693ac2d70bdf8be7588667a75910e43fd84397ad484e710e37369a30f7
• 9c09c303fa058c2d3e179969bd58ca5523775ff2d310fb2f8266ac74cb21ee81