SULAWESI TENGAH — Push Security mendeteksi kampanye iklan berbahaya yang menyalahgunakan hasil pencarian Bing untuk mengelabui pengguna Mac agar mengunduh penginstal Claude palsu. Modus bernama Adception ini menyebarkan malware ClickFix melalui iklan bersponsor di Google Search dengan menampilkan domain bing.com yang tampak terpercaya.
Laporan terbaru dari Push Security mengungkap kampanye malvertising yang menyasar pengguna perangkat Mac melalui iklan pencarian. Peretas tidak mengarahkan korban langsung ke domain milik mereka, melainkan memakai pengalihan dari hasil pencarian Bing sebagai titik pemeriksaan sebelum korban tiba di laman unduhan berbahaya.
Teknik ini berbeda dari kampanye malvertising konvensional yang biasanya langsung melempar korban ke situs yang dikendalikan penyerang. Push Security menyebut modus ini sebagai Adception karena memanfaatkan domain terpercaya sebagai perantara.
Bagaimana Serangan Adception Bekerja
Serangan dimulai ketika pengguna mengetik kata kunci "claude mac" di kolom pencarian Google. Iklan bersponsor yang muncul menampilkan domain bing.com sehingga terlihat sah di mata pengguna.
Setelah diklik, korban dialihkan melalui hasil pencarian Bing dan sebuah situs ritel yang telah diretas, sebelum akhirnya mendarat di laman unduhan Claude palsu. Push Security menemukan dua lapisan penyamaran yang membatasi pengiriman muatan berbahaya sekaligus menyembunyikannya dari pengunjung yang tidak diinginkan.
Situs yang disusupi memakai pemeriksaan di sisi server melalui pengalihan HTTP 302. Pemeriksaan ini mensyaratkan pengunjung datang dengan informasi perujuk Bing dan header browser tertentu.
Sementara itu, situs Claude palsu memiliki pemeriksaan terpisah berbasis JavaScript yang membaca nilai document.referrer. Jika nilai tersebut tidak memuat Google atau Bing, pengguna akan diarahkan ke laman 404.
Dua Lapis Penyamaran di Laman Unduhan
Laman terakhir yang ditampilkan merupakan tiruan rapi halaman unduhan Claude, lengkap dengan tombol "Download for macOS" dan perintah instalasi satu baris untuk terminal. Di titik inilah penyamaran kedua bekerja.
Laman tersebut menampilkan perintah asli milik Anthropic. Namun ketika pengguna mengeklik tombol Copy, perintah berbeda yang justru tersalin ke clipboard.
Perintah yang ditempelkan akan menampilkan teks "Downloading Claude: htpps://claude.ai/install[.]sh" di terminal. Setelah itu, perintah tersebut menerjemahkan URL tersembunyi dan meneruskan skrip dari lake-90[.]com ke zsh untuk dijalankan.
Akibatnya, pengguna yang membaca laman dan memperhatikan terminal akan melihat tautan Claude yang tampak sah pada kedua kesempatan tersebut. Push Security menyebut semua domain terkait memakai perintah macOS identik, pola tautan muatan berbahaya yang sama, serta kode jendela instalasi serupa.
Kutipan Push Security
"Baru-baru ini, Push mendeteksi contoh yang sangat baru, hasil pencarian mesin pencari yang disisipkan ke dalam iklan bersponsor di mesin pencari lain. Hasil pencarian ini digunakan sebagai pengalihan sekaligus titik pemeriksaan untuk mengalihkan pengunjung yang tidak diinginkan," tulis Push Security dalam laman resminya, Jumat (9/10).
"Kami telah mengidentifikasi beberapa domain terkait dengan serangan ClickFix yang sama, yaitu toolkit kriminal. Secara internal, kami melacaknya dengan nama AcSig, berdasarkan header yang harus dikirim bersama HMAC agar perintah berbahaya dapat diambil," kata Push Security.
Konteks bagi Pengguna di Indonesia
Ancaman ini relevan bagi pengguna Mac di Indonesia yang makin banyak memakai asisten AI berbasis desktop. Pengguna yang terbiasa mengeklik iklan bersponsor di Google Search berisiko tinggi terpapar modus serupa, terutama karena domain yang ditampilkan terlihat sah.
Praktik menyalin perintah terminal dari situs pihak ketiga juga menjadi celah utama. Laman tiruan bisa menampilkan satu perintah di layar, tetapi menyalin perintah lain ke clipboard.
Push Security belum merinci jumlah korban maupun wilayah yang terdampak. Perusahaan keamanan itu menyatakan masih melacak domain-domain terkait dengan nama internal AcSig.
