Ciberdelincuentes están aprovechando la infraestructura de Bing para ejecutar ataques de malware a través de anuncios legítimos de Google, una técnica denominada 'Adception' por los investigadores de Push Security. El objetivo es evadir las verificaciones de seguridad publicitaria utilizando el dominio legítimo de Bing como destino inicial, antes de redirigir a la víctima a un instalador falso de Claude diseñado para distribuir el payload malicioso.
La campaña, descubierta tras detectar un anuncio malicioso dirigido a usuarios que buscaban 'claude mac', funciona mediante múltiples capas de ofuscación. El anuncio pasa por el redirección de Google hacia un endpoint de rastreo de Bing, que lo envía a un sitio WordPress legítimo pero comprometido de un minorista sudamericano. Este sitio verifica el referidor de Bing y los cabeceras del navegador para evitar que el tráfico no deseado acceda al payload. Posteriormente, el usuario es redirigido a una página falsa de descarga de Claude, que utiliza JavaScript para confirmar que el tráfico proviene de Google o Bing.
El mecanismo de ataque es particularmente engañoso: la página muestra el comando de instalación legítimo de Claude (curl -fsSL https://claude.ai/install.sh | bash), pero al copiarlo, el usuario recibe un comando malicioso que decodifica una URL y descarga un archivo .dat desde un servidor controlado por el atacante, ejecutándolo directamente en la consola Z shell de macOS. Aunque el payload final no ha sido identificado, Push Security ha rastreado varios dominios asociados a este kit de herramientas ClickFix, que utiliza una estructura de URL y una interfaz de instalador idénticas para maximizar la evasión de detección.