Фальшивий Claude для Mac поширюють через рекламу в Google

Якщо ви шукаєте в Google «claude mac» і тиснете на рекламне оголошення нагорі, можна потрапити на підробний сайт. Він просить скопіювати команду й вставити її в Термінал macOS. Саме так працює схема ClickFix, і цього разу її помітили дослідники Push Security. Про кампанію 9 жовтня розповів BleepingComputer.

Чому реклама виглядає чесно

У оголошенні як адресу показано справжній bing.com, тож перевірки реклами й очі користувача нічого підозрілого не бачать. Насправді клік іде через рекламний редирект Google, а потім через службову адресу Bing bing.com/ck/a. Звідти браузер потрапляє на зламаний WordPress-сайт магазину з Південної Америки, а той перекидає на claude-desk-code[.]com, підробну сторінку завантаження Claude для Mac. Дослідники назвали прийом «Adception».

Захист від сканерів теж продуманий. Зламаний сайт перевіряє, що користувач прийшов із Bing, а фальшива сторінка пускає лише тих, хто прийшов із Google або Bing. Пряме відкриття адреси дає помилку 404.

Що відбувається в Терміналі

Сторінка показує справжню команду встановлення від Anthropic: curl -fsSL https://claude.ai/install.sh | bash. Але кнопка «Копіювати» кладе в буфер обміну іншу команду. Вона виводить повідомлення, що Claude завантажується з офіційного сайту, а насправді розкодовує адресу lake-90[.]com, тихо качає звідти файл .dat і одразу запускає його в zsh. Що саме в цьому файлі, дослідники не з’ясували. Але сама схема нічого доброго не обіцяє: скрипт із чужого сервера отримує такі ж права, як і ви.

Той самий набір інструментів (його називають AcSig) пов’язують і з іншими доменами з такою ж командою для macOS. Тож підробок може бути більше, ніж одна.

Що робити

Не вставляйте в Термінал команди зі сторінок у пошуковій видачі, навіть якщо вони скопійовані «справжньою» кнопкою: перед запуском перегляньте, що саме потрапило в буфер. Інструкції зі встановлення шукайте на офіційному сайті Anthropic та в центрі підтримки Claude, адресу вводьте вручну або беріть із закладки. Рекламні блоки в пошуку краще пропускати, коли ви шукаєте програму для завантаження. Якщо команду вже запустили, відключіть Mac від мережі, змініть паролі з іншого пристрою та перевірте систему антивірусом.

Про сам Claude ми писали раніше, а про macOS є окрема новина про утиліту RemoveMacAI.