Atak na programistów: fałszywy Claude Code kradnie dane przez reklamy Google

Programiści szukający narzędzia Claude Code od Anthropic stali się celem nowej kampanii cyberprzestępczej. Badacze z Trend Micro wykryli, że atakujący wykorzystują płatne reklamy w Google, by wyświetlać fałszywe strony instalacyjne. Użytkownik, który kliknie w sponsorowany link i wykona widoczne na stronie polecenia, instaluje złośliwe oprogramowanie kradnące dane z przeglądarek i portfeli kryptowalutowych.

Jak działa atak InstallFix na Claude Code

Schemat jest stosunkowo prosty, ale skuteczny. Cyberprzestępcy tworzą witryny łudząco podobne do oficjalnej strony Claude Code i wykupują reklamy w Google Ads. Gdy użytkownik wpisze frazy takie jak „Claude Code” czy „installation Claude Code”, sponsorowany link pojawia się na samej górze wyników wyszukiwania. Google dość sprawnie usuwa takie reklamy, ale atakujący zastępują zablokowane domeny nowymi.

Po wejściu na fałszywą stronę ofiara otrzymuje precyzyjną instrukcję instalacji – dostosowaną do systemu operacyjnego. W przypadku Windows polecenie uruchamiane w PowerShell wykorzystuje systemowe narzędzie mshta.exe (Microsoft HTML Application Host), co jest przykładem techniki Living-off-the-Land (LotL). Na macOS ładunek pobierany jest za pomocą narzędzia curl. Plik instalacyjny sprawia wrażenie autentycznego pakietu Microsoft i posiada prawidłowy podpis Marketplace.

Jak wyjaśniają badacze Trend Micro, pobrany plik jest tzw. polyglot file (ZIP/HTA). Pierwsza część jest rozpoznawana jako archiwum z pakietami Microsoft Bing, druga – odczytywana przez mshta.exe – zawiera złośliwy ładunek HTA. Dzięki temu skanery antywirusowe mogą uznać plik za bezpieczny.

Co kradnie malware i dlaczego trudno go wykryć

Analiza wskaźników kampanii pokrywa się z technikami i infrastrukturą powiązaną z oprogramowaniem RedLine Stealer. Malware gromadzi dane z przeglądarek internetowych oraz portfeli kryptowalutowych. Nowością w tej kampanii jest profilowanie przejętej maszyny – malware generuje unikalny identyfikator (HWID) na podstawie nazwy użytkownika i nazwy komputera, przetworzone przez funkcję skrótu. Tak utworzony ciąg służy do zbudowania spersonalizowanego adresu URL serwera C2, unikalnego dla każdej z przejętych maszyn.

Takie podejście utrudnia wykrycie przez systemy monitorujące ruch sieciowy. Masowe zablokowanie komunikacji z serwerem C2 jest trudne, ponieważ każde urządzenie łączy się z unikalnym punktem styku. Ograniczenie ruchu za pomocą blacklist staje się mało skuteczne.

Dlaczego ta kampania jest szczególnie groźna

Opisywana kampania oddziałuje zarówno na użytkowników technicznych, jak i osoby nietechniczne. Programiści pracujący z narzędziami wiersza poleceń są przyzwyczajeni do instalacji bezpośrednio z poziomu terminala, bazując na instrukcjach z dokumentacji lub repozytoriów GitHub. Z kolei użytkownicy nietechniczni chętnie wykonują precyzyjny opis instalacji krok po kroku, zwłaszcza wsparty wiarygodnym materiałem wideo.

Atakujący dołożyli wszelkich starań, aby strony idealnie odwzorowywały oficjalną witrynę producenta. Dlatego sama umiejętność rozpoznawania fałszywych stron może nie wystarczyć.

Jak się bronić przed InstallFix

Skuteczna ochrona opiera się na kilku prostych zasadach:

• Nie ufaj reklamom w wyszukiwarkach – zawsze wchodź na stronę producenta przez bezpośredni adres URL lub oficjalne repozytorium GitHub.
• Nie wykonuj poleceń z terminala, jeśli nie rozumiesz każdej ich części – atakujący liczą na to, że użytkownik wklei kod bez zastanowienia.
• Korzystaj z narzędzi AI do analizy poleceń – modele językowe potrafią ocenić, czy dane polecenie jest bezpieczne. Pamiętaj jednak, że one też mogą się mylić.
• Sprawdzaj certyfikaty i podpisy cyfrowe – atakujący potrafią przejąć konta deweloperskie lub wykorzystać luki w procesie weryfikacji certyfikatów.

Warto obserwować komunikaty badaczy z Trend Micro, którzy regularnie publikują analizy nowych kampanii. Podobne techniki mogą być wkrótce stosowane wobec innych popularnych narzędzi programistycznych.