Ulah Hacker Domain Bing Jadi Penyebar Malware

Ulah Hacker Domain Bing Jadi Penyebar Malware – Para pelaku kejahatan siber kembali melancarkan taktik licik dengan menyalahgunakan fitur pengalihan tautan pencarian resmi milik Bing (Bing search-result redirects).

Yakni sebagai URL klik di dalam iklan pencarian Google (Google search ads). Tujuannya adalah menggiring pengguna menuju pemasang aplikasi Claude palsu yang dikemas dalam serangan ClickFix.

Teknik baru yang dijuluki “Adception” oleh para peneliti keamanan ini dirancang khusus untuk mengelabui pemeriksaan keamanan periklanan.

Dengan memanfaatkan domain tepercaya milik Bing sebagai destinasi awal iklan, korban kemudian dialihkan melalui situs web yang telah disusupi sebelum akhirnya tiba di halaman unduhan berbahaya.

Serangan ini juga memanfaatkan beberapa lapisan penyamaran untuk mencegah pemindai keamanan maupun pengunjung yang mengakses URL berbahaya secara langsung agar tidak dapat mendeteksi payload aslinya.

Membedah Rantai Serangan

Kampanye ini terungkap setelah para peneliti mendapati adanya iklan Google berbahaya yang menargetkan pengguna yang sedang mencari kata kunci “claude mac”.

Berbeda dengan kampanye malvertising pada umumnya yang langsung mengarahkan korban ke domain milik penyerang, hasil iklan sponsor tersebut justru menampilkan domain resmi bing.com, membuat iklan tersebut tampak sangat aman dan sah.

Saat diklik, iklan tersebut mula-mula melewati pengalihan iklan Google sebelum mencapai titik pelacakan klik Bing ([bing.com/ck/a](https://bing.com/ck/a)).

Dari sana, peramban korban diteruskan ke sebuah situs web WordPress milik peritel di Amerika Selatan yang telah disusupi (compromised).

Situs yang dijebol inilah yang kemudian mengarahkan pengunjung ke domain penipuan claude-desk-code[.]com, sebuah halaman unduhan Claude palsu yang dirancang untuk mengelabui pengguna macOS agar mengeksekusi perintah berbahaya.

Pengalihan pelacakan klik milik Bing menggunakan skrip JavaScript untuk mengirim pengunjung ke destinasi akhir. Hal ini membuat lalu lintas tampak seolah-olah murni berasal dari Bing, menyembunyikan jejak asli peretas.

Dua Lapis Penyamaran

Kampanye Adception menggunakan dua lapisan cloaking guna memastikan hanya korban yang ditargetkan saja yang dapat melihat halaman berbahaya:

Situs web disusupi akan memeriksa apakah pengunjung datang dengan referrer Bing serta memastikan adanya header peramban tertentu sebelum melakukan pengalihan.
Halaman Claude palsu menggunakan skrip untuk memverifikasi bahwa pengunjung benar-benar datang dari mesin pencari Google atau Bing.

Pengunjung yang mencoba mengakses situs berbahaya tersebut secara langsung (tanpa melalui alur pencarian) akan langsung dilempar ke halaman kesalahan 404 Not Found.

Taktik ini membuat sistem pemindai keamanan otomatis kesulitan untuk menganalisis atau mendeteksi serangan yang sedang berlangsung.

Salin-Tempel Perintah Terminal yang Berbahaya

Destinasi akhir dari rantai serangan ini adalah halaman tiruan yang sangat meyakinkan dari situs unduhan resmi Claude. Halaman tersebut menawarkan penginstal untuk macOS melalui instruksi yang harus dimasukkan secara manual ke dalam aplikasi Terminal.

Namun, di sinilah letak jebakan ClickFix bekerja:

Halaman tersebut menampilkan perintah instalasi resmi milik Anthropic, yaitu curl -fsSL [https://claude.ai/install.sh](https://claude.ai/install.sh) | bash.
Namun, ketika tombol salin (copy) diklik oleh korban, skrip di balik layar secara diam-diam mengganti perintah tersebut dengan kode berbahaya ke dalam clipboard korban.

Perintah pengganti tersebut sekilas mencetak pesan seolah-olah mengunduh Claude dari situs resmi, padahal sebenarnya mendekode URL terenkripsi Base64 yang mengarah ke domain lake-90[.]com.

Perintah itu kemudian menggunakan utilitas curl untuk mengunduh file .dat dari server penyerang secara senyap dan langsung mengeksekusinya ke dalam shell macOS (zsh).

Akibatnya, korban merasa yakin bahwa mereka menyalin perintah instalasi yang sah, baik yang terlihat di halaman web maupun di terminal, meskipun skrip yang benar-benar berjalan di latar belakang adalah instruksi yang sepenuhnya berbeda.

Hingga saat ini, payload akhir yang dikirimkan oleh serangan ini masih belum diketahui secara pasti, sehingga jenis malware yang diinstal belum dapat dipastikan.

Para peneliti mencatat bahwa mereka telah mengidentifikasi beberapa domain lain yang menggunakan perangkat ClickFix serupa. Yang dilacak secara internal dengan nama sandi AcSig karena menggunakan: