Fałszywa aplikacja Claude: reklama w Bing prowadziła do prawdziwej strony firmy Anthropic

Każdy, kto w ciągu ostatnich kilku dni wyszukiwał w wyszukiwarce Bing aplikację komputerową Claude, mógł zainfekować swój komputer złośliwym oprogramowaniem, nie popełniając przy tym żadnego oczywistego błędu. Płatna reklama umieszczona na samym szczycie strony prowadziła do claude.ai, prawdziwego adresu firmy Anthropic. Pułapka czekała właśnie tam.

Firma zajmująca się bezpieczeństwem Huntress opublikowała ten przypadek 22 lipca. W dniach od 21 do 22 lipca atak dotknął co najmniej 29 organizacji. Huntress nazwała tę kampanię „FakeAgent”.

Fałszywa strona znajdowała się w domenie należącej do firmy Anthropic

Umożliwiła to funkcja o nazwie Artifacts. Claude wykorzystuje ją do renderowania kodu, dokumentów lub całych stron internetowych w panelu obok czatu. Pliki Artifacts można udostępniać publicznie, a każdy może je otworzyć bez konieczności posiadania konta. W ten sposób atakujący stworzyli działającą kopię oficjalnej strony pobierania, a następnie wykupili sponsorowaną reklamę w wyszukiwarce Bing, która do niej prowadziła.

Jedyną wskazówką był krótki napis w lewym górnym rogu: „Treść jest generowana przez użytkowników i nie została zweryfikowana”. Każdy, kto sprawdził pasek adresu, widział natomiast adres claude.ai i kliknął. Strona odnotowała 7 100 wyświetleń, zanim firma Anthropic ją usunęła po zgłoszeniu przez serwis Huntress.

Przycisk pobierania faktycznie przekierowywał poza witrynę – najpierw na adres claude.ai.download-app[.]us, a stamtąd na downloading-api.it[.]com. Sztuczka polega na sposobie budowy adresu. W tym przypadku claude.ai jest jedynie subdomeną umieszczoną przed rzeczywistą domeną download-app.us, która została zarejestrowana 9 maja.

Prawdziwy plik zawierający kod należący do kogoś innego

Plik ClaudeDesktop.exe, który trafia na dysk, wcale nie jest oprogramowaniem Claude. Jest to autentyczny, podpisany komponent firmy JetBrains, który umożliwia boczne ładowanie bibliotek DLL. Skrót DLL oznacza Dynamic Link Library, czyli bibliotekę programową ładowaną przez aplikację podczas jej uruchamiania. W ataku typu „sideloading” osoba atakująca umieszcza sfałszowaną kopię tej biblioteki obok niezafałszowanego programu. Program ładuje ją bez zastrzeżeń, a złośliwy kod uruchamia się pod przykrywką podpisanego pliku.

Na końcu łańcucha znajduje się SectopRAT – trojan umożliwiający zdalny dostęp, znany od 2019 roku. Przechwytuje on hasła, dane kart kredytowych, pliki, dane logowania do przeglądarek i pliki cookie, dane uwierzytelniające do serwerów FTP, dane z serwisów Discord i Telegram oraz konta Steam i VPN. Aby zapewnić sobie stały dostęp, w ramach kampanii umieszczany jest również plik o nazwie DockerDesktop.exe, który rejestruje się jako zaplanowane zadanie, co powoduje wielokrotne ponowne zainfekowanie komputera.

Złośliwe oprogramowanie przeciwdziała analizom. Jest spakowane i sprawdza kartę graficzną oraz pamięć wideo w celu wykrycia maszyn wirtualnych – izolowanych systemów testowych wykorzystywanych przez badaczy bezpieczeństwa. Firma Huntress informuje, że do własnej analizy wykorzystała oprogramowanie Claude Opus 4.8, poprzednika niedawno wydanego Claude Opus 5.

Ta sztuczka nie jest nowa

Już w maju fałszywa strona internetowa Claude rozpowszechniała backdoora dla systemu Windows za pośrednictwem reklam Google. Z kolei w kwietniu, według firmy Huntress, ten sam sprawca wykorzystał serwis Docker Hub do rozpowszechniania fałszywego instalatora Docker Desktop opartego na dokładnie tej samej sfałszowanej bibliotece. To również wyjaśnia, dlaczego plik o nazwie DockerDesktop.exe nadal znajdował się w pakiecie z bieżącego miesiąca.

Jakie wnioski można z tego wyciągnąć

Pasek adresu nie jest tak wiarygodnym źródłem informacji, jak zakłada większość osób. Gdy platforma udostępnia treści generowane przez użytkowników w ramach własnej domeny – a tak właśnie działają serwisy claude.ai, Google Docs i GitHub – nazwa domeny nie mówi nic o tym, co faktycznie otrzymują Państwo. Oprogramowanie nie powinno więc trafiać na Państwa komputer za pośrednictwem reklamy w wynikach wyszukiwania. Firma Anthropic udostępnia aplikacje Claude pod adresem claude.com/download, a inne programy powinny znajdować się na stronach internetowych ich twórców – należy je wpisać bezpośrednio lub zapisać jako zakładkę. Wyniki sponsorowane pojawiają się na górze listy, ponieważ ktoś za nie zapłacił, a nie dlatego, że zostały sprawdzone.

Jeśli jednak coś mimo wszystko przedostanie się do systemu, liczy się druga linia obrony. Program wykradający dane, taki jak SectopRAT, atakuje bezpośrednio dane logowania zapisane w przeglądarce. Opisaliśmy, jak zabezpieczyć Państwa konta, tak aby samo skradzione hasło nie wystarczyło do uzyskania dostępu.