Instalação falsa do Claude Code é usado para ataque

04/06/2026 mindsecblog Notícias 0

Instalação falsa do Claude Code é usado para ataque. Hackers usam página de instalação falsa do Claude Code para distribuir um Infostealer .NET sem arquivos.

Hackers estão explorando o entusiasmo em torno das ferramentas de programação com IA, visando usuários que buscam guias de instalação do Claude Code. Uma campanha ativa utiliza páginas de instalação falsas para roubar silenciosamente as credenciais de vítimas desavisadas.

Os atacantes usam envenenamento de SEO para impulsionar uma página de instalação falsa da Anthropic para o topo dos resultados de pesquisa. Assim que um usuário acessa essa página, a armadilha é armada.

A campanha foi concebida para um público muito específico. Em vez de visar profissionais de TI, ela se concentra em desenvolvedores iniciantes e usuários não técnicos entusiasmados com uma nova ferramenta.

Esses usuários não têm noção de como é um processo de instalação real, o que os torna mais propensos a seguir as instruções sem questionar. A cadeia de distribuição tem seis etapas e é quase totalmente sem arquivos após a primeira etapa.

Analistas da Cyderes, por meio de sua unidade de pesquisa de ameaças Howler Cell, identificaram esta campanha ativa de envenenamento de SEO direcionada a usuários que pesquisam guias de instalação do Claude Code.

De acordo com um relatório da Cyderes compartilhado com o Cyber Security News (CSN), os atacantes colocaram uma página de instalação falsa da Anthropic no topo dos resultados de pesquisa e usaram uma isca do ClickFix para executar um comando MSHTA malicioso por meio da caixa de diálogo Executar do Windows.

A carga útil final é um programa .NET reflexivo que rouba informações e envia sinais para a infraestrutura russa para exfiltrar credenciais.

As consequências de uma infecção bem-sucedida são graves. Credenciais roubadas, contas bancárias esvaziadas e identidades comprometidas estão entre os resultados reais apontados pela Howler Cell em sua análise.

Muitas vítimas não possuem controles de segurança corporativos entre elas e uma página de download falsificada. A Anthropic não foi comprometida e sua marca está simplesmente sendo imitada.

O que torna esta campanha especial é a lógica de direcionamento deliberada. Os operadores rastrearam a rápida adoção do Claude Code e o transformaram em uma superfície de ataque.

A cadeia de entrega foi projetada para burlar a inspeção de arquivos, a varredura AMSI, a telemetria EDR, a análise em sandbox e a correspondência de IOCs em todas as camadas.

Hackers usam página de instalação falsa do Claude Code

O ataque começa quando um usuário pesquisa por “instalação do Claude Code” e clica no que parece ser uma página de instalação legítima da Anthropic.

A página instrui o visitante a abrir a caixa de diálogo Executar do Windows e colar um comando mshta.exe pré-configurado, apresentado como uma etapa obrigatória.

Este é o método ClickFix, uma técnica de engenharia social que disfarça comandos MSHTA controlados por atacantes como etapas de configuração de rotina.

A Etapa 1 começa quando mshta.exe recupera um payload poliglota MP3/HTA de 6,7 MB de download.version-516[.]com/claude.

Este arquivo passa como áudio reproduzível durante verificações de segurança, enquanto oculta um bloco de script HTA executável em seu interior.

Quando o mshta.exe processa o arquivo, ele ignora o áudio e executa o script oculto. As ferramentas de segurança que inspecionam o cabeçalho do arquivo veem um MP3 legítimo, não uma ameaça.

MP3 – HTA poliglota — O VLC reconhece o áudio reproduzível; o mshta.exe encontra e executa o bloco de script HTA incorporado (Fonte – Cyderes)

A segunda etapa utiliza o HTA para registrar uma tarefa agendada por meio de um objeto COM, iniciando um processo PowerShell de 32 bits. O direcionamento ao binário de 32 bits é intencional, pois a cobertura do EDR geralmente prioriza atividades de 64 bits.

O script realiza um bypass do AMSI, descriptografia RC4 e identificação da vítima por meio de um hash MD5 da máquina e do nome de usuário. A terceira etapa busca um script ofuscado de 17 MB na memória a partir de um subdomínio exclusivo em oakenfjrod[.]ru, não deixando nada no disco.

Ladrão de informações .NET reflexivo: sem arquivos e difícil de detectar

O estágio final é um ladrão de informações .NET reflexivo que é executado inteiramente dentro do espaço de endereçamento do processo PowerShell existente. Ele não deixa nenhum artefato de arquivo, não gera nenhum novo processo e não cria nenhum evento de carregamento de imagem para os defensores se ancorarem.

O método de carregamento espelha técnicas usadas por ferramentas avançadas como o Cobalt Strike , mas é executado inteiramente a partir do PowerShell.

Carregador .NET reflexivo — o shellcode final é executado inteiramente dentro do espaço de endereço do processo PowerShell existente (Fonte – Cyderes)

O programa de roubo de informações envia sinais via HTTPS para 185[.]177[.]239[.]255:443 para comando e controle e roubo de credenciais. A telemetria SensitiveFileRead confirmou o acesso ao armazenamento de credenciais do navegador durante a execução.

As plataformas EDR com visibilidade de carregamento de assemblies .NET conseguem detectar isso onde os controles baseados em arquivos não conseguem.Os especialistas em segurança devem tratar qualquer página de instalação do Claude Code que solicite a colagem de um arquivo na caixa de diálogo “Executar” como um provável evento de infecção.

O bloqueio de conexões HTTPS de saída do mshta.exe cobre o Estágio 1, independentemente da ofuscação. Consultas DNS para qualquer subdomínio de oakenfjrod[.]ru são um forte indicador de comprometimento, e o bloqueio de domínios curinga é muito mais eficaz do que a correspondência de indicadores de comprometimento por subdomínio.

Indicadores de Compromisso (IoCs):-

Tipo	Indicador	Descrição
Domínio	baixar.versão-516[.]com	Entrega de carga útil HTA; site falso para download do Código Claude
Domínio	oakenfjrod[.]ru	Etapa 3 C2 (caractere curinga: *.oakenfjrod[.]ru)
IP	185[.]177[.]239[.]255	IP C2 final do ladrão para exfiltração de credenciais
URL	https://[md5_16char].oakenfjrod[.]ru/claude-[uuid]	Estrutura de URL do beacon C2 por vítima

Nota: Os endereços IP e domínios são intencionalmente desativados (por exemplo, `example.com` [.]) para evitar resolução acidental ou criação de hiperlinks. Reative-os somente em plataformas de inteligência contra ameaças controladas, como MISP, VirusTotal ou seu SIEM .