**Bing настоящий, Claude фальшивый: реклама в Google ведёт прямо в терминал**
**Bing настоящий, Claude фальшивый: реклама в Google ведёт прямо в терминал** Злоумышленники превратили рекламу Google и редирект Bing в многоступенчатую ловушку для пользователей macOS, которые искали Claude. На фейковой странице показывают настоящую команду установки, но кнопка копирования подсовывает совсем другой код. Атака начинается с вредоносной рекламы в Google по запросу вроде `claude mac`. В рекламном результате виден настоящий домен `bing.com `, но после клика цепочка уходит дальше: рекламная ссылка Google → служебный `bing.com/ck/a` → взломанный южноамериканский интернет-магазин → поддельная страница загрузки Claude. Длинная цепочка нужна, чтобы скрыть конечную точку от автоматических проверок. Взломанный сайт пропускает дальше только посетителей, пришедших через Bing и подходящих под заданные параметры браузера. Фальшивый Claude тоже проверяет источник: при прямом переходе посетитель получает 404. Поэтому сканер или исследователь может вообще не увидеть ловушку. На поддельной странице жертве предлагают установить Claude через терминал. Сайт показывает настоящую команду установки Anthropic, однако кнопка копирования помещает в буфер обмена другой код. После вставки команда выводит в терминале официальный адрес `claude.ai `, в фоне расшифровывает скрытую ссылку, скачивает с другого сервера сценарий и передаёт его оболочке `zsh` на запуск. Это классический приём ClickFix: злоумышленник не запускает вредонос сам, а убеждает пользователя скопировать и выполнить команду под видом обычной инструкции. В этой кампании приманкой стала установка Claude, поэтому человек запускает код собственными руками, думая, что ставит официальный клиент. Исследователи нашли несколько доменов с тем же оформлением, одинаковой командой для macOS и похожей структурой адресов. Инфраструктуру относят к набору инструментов AcSig. Что именно загружалось в итоге, установить не удалось, поэтому конкретное вредоносное ПО пока не подтверждено. По телеметрии, примерно четыре из пяти атак ClickFix приходят через поисковые системы. Здесь добавили ещё один уровень маскировки: знакомый домен Bing виден уже в рекламном результате, а вредонос открывается только после прохождения всей цепочки. 🛠 Мнение DevGeek.IT: Классика ClickFix, но с красивой обёрткой: доверие к Google, к Bing, к «официальной» команде. Самое подлое — подмена буфера обмена: видишь одну строку, копируешь другую, запускаешь третью. Терминал — не место для слепого копипаста. Если установщик просит вставить что-то в `zsh`, лучше открыть официальный сайт руками и сверить каждую команду. И да, реклама в поиске давно не гарант чистоты.