L'annonce disait qu'elle menait vers Bing. Elle y menait, brièvement.
L'annonce avait l'air normale. En cherchant "claude mac" sur Google, on tombait sur un résultat sponsorisé dont la destination affichée était bing.com, ce qui est à peu près le lien le moins inquiétant qui soit. Le clic menait bien vers Bing. Sauf qu'il ne s'arrêtait pas là.
Push Security a démonté la chaîne et donné un nom à l'astuce : Adception. Le clic passait par la redirection publicitaire de Google, puis par le traceur de clics de Bing à l'adresse bing.com/ck/a, ressortait sur le site WordPress piraté d'un détaillant sud-américain et aboutissait enfin sur claude-desk-code[.]com, une copie de la page de téléchargement d'Anthropic. C'est le fait d'afficher Bing comme destination qui a permis à l'annonce de passer le contrôle de Google. La boutique piratée ajoutait ensuite son propre filtre : elle ne laissait passer les visiteurs que s'ils arrivaient depuis Bing avec les en-têtes de navigateur attendus, et la fausse page renvoyait une erreur 404 sèche à tout ce qui ressemblait à un scanner de sécurité.
Au bout du chemin attendait l'astuce du presse-papiers. La page affichait la vraie commande d'installation d'Anthropic pendant que le bouton de copie en chargeait discrètement une autre, une chaîne base64 qui télécharge un fichier et l'exécute. Cette campagne visait les utilisateurs de Mac, donc un PC Windows suivant la même annonce serait reparti les mains vides. C'est le blanchiment du clic qui mérite l'attention, car il fonctionne quel que soit le système d'exploitation pour lequel la fausse page est habillée, et la prochaine le sera pour Windows.
Juger une annonce au domaine qu'elle affiche ne veut plus dire grand-chose. La meilleure habitude consiste à ne plus passer par les résultats de recherche pour télécharger : tapez vous-même l'adresse de l'éditeur, ou laissez un autre outil s'en charger. Tendvane met à jour les applications que vous avez déjà via winget, la source de paquets de Microsoft, si bien qu'aucun résultat de recherche ne traîne dans la chaîne pour être empoisonné.