Fałszywa witryna Claude AI wypycha backdoora Windows przez wyniki wyszukiwania Google

Fałszywa witryna Claude AI wypycha nowego backdoora dla systemu Windows za pośrednictwem sponsorowanych wyników wyszukiwania Google. Złośliwa domena, claude-pro[.]com, przebiera się za prawdziwy interfejs Claude'a i oferuje fałszywe narzędzie o nazwie Claude-Pro Relay. Sophos X-Ops opublikował dziś pełną analizę kampanii. Malwarebytes znalazł ją jako pierwszy.

Kampania jest skierowana do programistów. Witryna sprzedaje Claude-Pro Relay jako "wysokowydajną usługę przekaźnikową zaprojektowaną specjalnie dla programistów Claude Code" Jedyne, co można zrobić na stronie, to kliknąć przycisk pobierania. Spowoduje to pobranie pliku ZIP o rozmiarze 505 MB o nazwie Claude-Pro-windows-x64.zip, który zawiera instalator MSI. Instalator umieszcza trzy pliki w folderze startowym systemu Windows: legalny, podpisany aktualizator antywirusowy G Data o nazwie NOVupdate.exe, zaszyfrowany plik danych i złośliwą bibliotekę DLL o nazwie avk.dll. Instaluje się on w C:Program Files (x86)AnthropicClaudeCluade - proszę zwrócić uwagę na błąd ortograficzny - ale nikt nie sprawdza ścieżki instalacji.

Jak działa łańcuch infekcji

Podpisany plik binarny G Data jest wykorzystywany do załadowania pliku avk.dll. Na tym polega istota tej techniki - na wykorzystaniu zaufania do legalnego narzędzia zabezpieczającego w celu ominięcia zabezpieczeń. Biblioteka DLL odszyfrowuje zaszyfrowany ładunek za pomocą odwróconego klucza XOR, przekazuje go do DonutLoadera, a DonutLoader upuszcza backdoora Beagle do systemu.

Beagle dzwoni do domu do license[.]claude-pro[.]com na porcie TCP 443 lub porcie UDP 8080. Ruch jest szyfrowany za pomocą zakodowanego na stałe klucza AES, więc dla każdego, kto obserwuje połączenie, wygląda jak normalny HTTPS. Backdoor uruchamia osiem poleceń: wykonanie powłoki, transfer plików, listowanie katalogów i samoczynne usuwanie. To wystarczy do uzyskania pełnego zdalnego dostępu. Nie ma on nic wspólnego ze starym robakiem Beagle opartym na Delphi z 2004 roku - inna nazwa, zupełnie inna bestia.

Sophos spodziewał się PlugX. Konfiguracja sideloading - plik binarny G Data, avk.dll, ładunek zaszyfrowany XOR - to ten sam łańcuch, który Lab52 udokumentował w lutym 2026 r. w kampanii PlugX, która wykorzystywała fałszywe zaproszenia na spotkania. Ładunek okazał się inny. Sophos uważa teraz, że atakujący albo przerobił znany łańcuch, albo przejął technikę od innej grupy.

Operatorzy nie pozostali bezczynni. Malwarebytes wyśledził, że w kwietniu 2026 r. zmienili dostawcę masowych wiadomości e-mail z Kingmailer na CampaignLark, zmieniając infrastrukturę, aby wyprzedzić listy blokad. Sam serwer hostingowy został uruchomiony w marcu 2026 r., co oznacza, że kampania rozpoczęła się około sześć tygodni przed dzisiejszym publicznym ujawnieniem.

Wzorzec ataków z użyciem sztucznej inteligencji

To już trzeci raz w ciągu mniej więcej roku, kiedy atakujący wykorzystali markę narzędzia AI do przeprowadzenia kampanii sideloadingowej DLL. Bitdefender złapał fałszywe strony Claude Code działające za pośrednictwem reklam Google w marcu 2026 r., wykorzystując ClickFix do nakłonienia programistów do wklejenia złośliwych poleceń terminala. Wcześniej, na początku 2025 roku, fałszywe strony instalatora DeepSeek uruchomiły ten sam łańcuch sideloadingowy. Marka AI zmienia się, aby dopasować się do trendów w wyszukiwaniu. Metoda infekcji nie.

Kampania odbywa się za pośrednictwem sponsorowanych wyników wyszukiwania, co oznacza, że fałszywa witryna znajdowała się nad prawdziwą listą Claude dla każdego, kto szukał i kliknął bez sprawdzania domeny. Claude jest dostępny tylko pod adresem claude.com. Anthropic nie wydał niczego o nazwie Claude-Pro Relay. Sophos twierdzi, że znalezienie NOVupdate.exe lub avk.dll w folderze startowym systemu Windows jest wiarygodnym znakiem, że maszyna jest zagrożona.

Notebookcheck wcześniej opisał osobny incydent, w którym agent kodujący Agent kodujący AI działający wewnątrz Cursora autonomicznie usunął całą produkcyjną bazę danych startupu i wszystkie kopie zapasowe bez potwierdzenia użytkownika, podkreślając rosnące ryzyko związane z wdrażaniem narzędzi AI bez odpowiednich zabezpieczeń