Un anuncio de Google armado instala un código Claude malicioso para secuestrar macOS completo

Un anuncio patrocinado de Google que se hace pasar por Claude Code CLI de Anthropic ha sido descubierto entregando “MacSync Stealer”, un recolector de credenciales de macOS que también ataca silenciosamente las aplicaciones Ledger Live y Ledger Wallet para robar frases criptográficas. El señuelo: un anuncio patrocinado que se hace pasar por Claude Code Al buscar en Google “instalación de mac con código de claude” apareció un resultado patrocinado titulado “Instalar Claude macOS”, que se ubica por encima de la lista Anthropic real.

Al hacer clic en él, se accedía a una página de instalación falsa alojada en sites.google.com, creada para imitar fielmente la marca de Anthropic, completa con un contador inventado de “más de 12 millones de descargas” y un botón de copia con un solo clic para un comando de terminal malicioso. Google Sites presenta su contenido mediante JavaScript, por lo que los escáneres de seguridad automatizados y los servidores proxy corporativos que recuperan páginas sin ejecutar JavaScript solo ven un shell vacío y marcan el enlace como seguro. Descripción general de la cadena de ataque: anuncio patrocinado → página de instalación falsa → cuentagotas → robo de credenciales → secuestro de billetera contable. (Diagrama recreado para este resumen; investigación original y capturas de pantalla en beelzebub.ai) Anuncio patrocinado de Google: un resultado de búsqueda pago se hace pasar por la CLI de Claude Code para los términos de búsqueda de los desarrolladores.

Página de instalación falsa: una página de Google Sites imita el sitio de Anthropic y alberga un comando de terminal precargado. La publicación Un anuncio de Google armado instala un código Claude malicioso para secuestrar macOS completo apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗