Anuncios de Google y redirecciones de Bing distribuyen falsos instaladores de Claude

El 9 de octubre de 2026, una campaña maliciosa utilizaba anuncios de Google dirigidos a búsquedas como «claude mac» para conducir a los usuarios hacia falsos instaladores de Claude capaces de ejecutar ataques ClickFix. La técnica, denominada «Adception» por Push Security, emplea redirecciones de resultados de búsqueda de Bing para tratar de superar los controles de seguridad publicitaria.

El anuncio mostraba el dominio legítimo bing.com y, tras pasar por la redirección publicitaria de Google y el endpoint de seguimiento bing.com/ck/a, enviaba al navegador a un sitio WordPress comprometido perteneciente a un minorista sudamericano. Ese sitio redirigía después a claude-desk-code[.]com, una página que imitaba la descarga de Claude para macOS.

La infraestructura aplicaba varias capas de ocultación. El sitio WordPress comprobaba que la visita procediera de Bing y que incluyera determinados encabezados del navegador, mientras que la página falsa verificaba que el usuario hubiera llegado desde Google o Bing. Los accesos directos al dominio malicioso terminaban en una página de error 404 para dificultar el análisis automatizado.

La página mostraba el comando legítimo de instalación de Claude, curl -fsSL https://claude.ai/install.sh | bash, pero el botón para copiarlo colocaba en el portapapeles una instrucción distinta. El comando simulado mostraba un mensaje sobre una descarga desde Anthropic, decodificaba una URL codificada en Base64 hacia lake-90[.]com, descargaba silenciosamente un archivo .dat y ejecutaba su contenido mediante zsh. El payload final no había sido identificado y se desconocía qué malware, si alguno, llegaba a instalarse.

Push Security vinculó varios dominios con el mismo kit de ClickFix, seguido internamente como AcSig, al observar comandos de instalación para macOS, estructuras de URL de payload e interfaces de instalación idénticas. Fuente: BleepingComputer.