Una campagna di falsi annunci Google sfrutta i reindirizzamenti di Bing per distribuire malware tramite finti download di Claude AI. Ecco come bloccare i domini malevoli.
Chi cerca strumenti di intelligenza artificiale per l'ufficio rischia di installare un finto download claude malware powershell o per terminale macOS. Il 9 ottobre 2026, i ricercatori di Push Security e BleepingComputer hanno documentato la campagna "Adception" (variante "AcSig" del modello ClickFix). I criminali informatici usano falsi annunci su Google che passano per link legittimi di Bing per far copiare codice malevolo agli utenti. Per bloccare la minaccia, è necessario inserire subito i domini malevoli nei filtri DNS aziendali e vietare l'installazione di software da riga di comando.
La catena di reindirizzamento e i segnali di compromissione
L'attacco non sfrutta vulnerabilità del software (non è presente alcuna CVE), ma si basa sull'inganno. Tutto inizia quando un utente cerca termini come "claude mac" su Google. L'annuncio sponsorizzato mostra come destinazione il dominio attendibile bing.com.
Cliccando, il browser attraversa l'infrastruttura di tracciamento di Microsoft (bing.com/ck/a) e atterra su un sito WordPress compromesso, appartenente a un rivenditore sudamericano. Questo sito verifica che la provenienza sia realmente Bing e reindirizza l'utente sulla pagina fraudolenta claude-desk-code[.]com. L'accesso diretto a questo indirizzo, senza passare per la catena, restituisce un finto errore "/404.html".
Sulla pagina malevola compare un comando di installazione all'apparenza legittimo: "curl -fsSL https://claude.ai/install.sh | bash". Cliccando sul pulsante per copiare il testo, negli appunti finisce però un comando diverso e pericoloso. Nel caso specifico documentato, il codice nascosto scarica un file .dat dal server lake-90[.]com per eseguirlo tramite l'interprete zsh. Sebbene questo specifico attacco miri a macOS, la tecnica ClickFix utilizza regolarmente comandi PowerShell per infettare i sistemi Windows con software per il furto di credenziali.
Chi è coinvolto e perché i filtri falliscono
Il problema riguarda tutte le postazioni aziendali in cui i dipendenti hanno la libertà di incollare comandi nel terminale per installare software.
L'uso del dominio legittimo di Bing negli annunci Google riesce a superare i controlli automatici pubblicitari. Inoltre, i sistemi di sicurezza perimetrale delle aziende, come i gateway web, spesso non bloccano le chiamate verso l'infrastruttura di Microsoft perché considerata sicura. La crescente adozione dell'intelligenza artificiale negli uffici spinge molti professionisti a cercare strumenti come Claude, esponendo l'intera rete al furto di dati a causa dell'abitudine di incollare comandi di installazione rapida.
Cosa fare per proteggere i computer aziendali
Non esiste una data per un intervento definitivo da parte di Google o Microsoft per bloccare questo abuso dei reindirizzamenti. I responsabili IT devono applicare queste misure operative:
- Inserire immediatamente i domini
claude-desk-code[.]comelake-90[.]comnelle liste di blocco dei DNS e dei proxy aziendali. - Vietare l'installazione di programmi tramite comandi copiati da siti esterni. Imporre l'uso esclusivo del sito ufficiale del produttore (
claude.ai). - Disabilitare l'esecuzione di script non firmati su PowerShell e applicare il principio dei privilegi minimi sugli interpreti di comandi di tutti i computer.
- Installare estensioni per il blocco delle pubblicità sui browser aziendali per impedire la visualizzazione di risultati sponsorizzati ingannevoli.
Verificate oggi stesso le regole di esecuzione degli script e i log dei DNS sulle postazioni dei vostri collaboratori.
