Przejdź do treści
Malware

Falszywy Claude AI instaluje backdoora Beagle. Uważaj na „darmowe” narzędzia AI

Oszuści podszywają się pod Claude AI, oferując rzekome narzędzie Claude-Pro Relay. Zamiast niego instalują backdoora Beagle, który daje atakującym pełny zdalny dostęp do systemu. Sprawdź, jak rozpoznać zagrożenie.

2 min read
A dark abstract composition of a glowing blue digital bird (beagle) with tangled cables and a broken padlock, surrounded by faint red warning symbols and a shadowy figure in the background.

Osoby szukające narzędzi do pracy z modelami językowymi AI powinny zachować szczególną ostrożność. Badacze z firmy Sophos odkryli kampanię, w której fałszywa strona podszywająca się pod Claude AI instaluje nowego, nieznanego wcześniej backdoora o nazwie Beagle. Zagrożenie dotyczy użytkowników systemu Windows, którzy pobiorą rzekome narzędzie Claude-Pro Relay.

Jak działa atak?

Ofiara trafia na stronę claude-pro[.]com, która stylistycznie przypomina oficjalny serwis Claude AI. Jak opisują badacze Sophos, witryna oferuje jedynie przycisk do pobrania pliku o nazwie Claude-Pro-windows-x64.zip (około 505 MB). Po rozpakowaniu i uruchomieniu instalatora MSI do folderu autostartu trafiają trzy pliki: NOVupdate.exe, NOVupdate.exe.dat oraz avk.dll.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Pierwszy z nich to podpisany cyfrowo aktualizator oprogramowania G Data, który atakujący wykorzystują do przeładowania biblioteki DLL (technika znana jako DLL sideloading). Biblioteka avk.dll odszyfrowuje i uruchamia w pamięci narzędzie DonutLoader, a to następnie wstrzykuje do pamięci systemowej właściwy ładunek – backdoora Beagle.

Co potrafi Beagle?

Backdoor Beagle to stosunkowo prosty, ale niebezpieczny program. Z analizy Sophos wynika, że jego zestaw komend obejmuje m.in.: wykonywanie poleceń systemowych, przesyłanie i pobieranie plików, tworzenie i usuwanie katalogów oraz przeglądanie zawartości dysku. Atakujący mogą też całkowicie usunąć backdoora z systemu, co utrudnia wykrycie infekcji po zakończeniu działania.

Komunikacja z serwerem dowodzenia (C2) odbywa się przez port 443 (TCP) lub 8080 (UDP), a dane są szyfrowane kluczem AES. Sophos zidentyfikował adres IP serwera C2: 8.217.190[.]58, należący do zakresu Alibaba Cloud.

Kto jest zagrożony i jak się chronić?

Atak wymaga aktywnego pobrania i uruchomienia fałszywego instalatora. Osoby, które korzystają wyłącznie z oficjalnej strony Claude AI (claude.ai) lub aplikacji mobilnych, nie są zagrożone. Problem dotyczy przede wszystkim użytkowników szukających „darmowych” lub „usprawnionych” wersji narzędzi AI.

Badacze Sophos zaznaczają, że podobne kampanie mogą wykorzystywać inne popularne marki. W przeszłości atakujący podszywali się m.in. pod aktualizacje CrowdStrike, SentinelOne czy Trellix. Dlatego warto przestrzegać kilku zasad:

  • Pobieraj oprogramowanie wyłącznie z oficjalnych stron producenta.
  • Unikaj klikania w linki z reklam lub wyników sponsorowanych w wyszukiwarkach.
  • Sprawdzaj nazwę wydawcy w podpisie cyfrowym plików wykonywalnych.
  • Regularnie skanuj system programem antywirusowym i zwracaj uwagę na nietypowe procesy w autostarcie.

Obecność plików NOVupdate.exe lub avk.dll w folderze autostartu to silny wskaźnik kompromitacji. W przypadku podejrzenia infekcji warto wykonać pełne skanowanie systemu i zmienić hasła do wszystkich kont.

Kampania ta pokazuje, że cyberprzestępcy szybko adaptują się do popularności narzędzi AI. Należy zachować czujność i nie ufać stronom oferującym „darmowe” lub „ulepszone” wersje znanych produktów.

#backdoor #Beagle #Claude AI #malware #phishing #Sophos
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A realistic stock-style photo of a middle-aged Polish man sitting at a home desk in a typical Polish apartment, looking worried and frustrated at his laptop screen. Evening lighting from a desk lamp. The laptop is open, screen facing away, showing only the back of the device. No visible text, numbers, or interfaces on the screen. The man's hand is on the mouse, his expression conveys concern and surprise. Shallow depth of field, warm tones, natural grain, 16:9 crop. No logos, no brand names, no signs. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

70 fałszywych stron z aplikacjami Windows. Twoje dane w niebezpieczeństwie

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, Polska scena biurowa: młody mężczyzna w okularach przed komputerem, wygląda na zaskoczonego i zmartwionego, patrząc na ekran (ale ekran widoczny tylko z tyłu, bez interfejsu), w tle otwarta przestrzeń biurowa z kilkoma biurkami. Naturalne światło dzienne, głębia ostrości, kadr 16:9, twarz z bliska, emocja: zaniepokojenie. Zero tekstu, cyfr ani ekranów z interfejsem. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Atakują przez Teams i podszywają się pod IT. Masz firmowe konto?

26 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic stock-style close-up photo of a worried middle-aged man looking at his laptop screen at home, evening natural light from window, his hand hesitating over the mouse, screen visible only from the back (no interface visible), the room is a typical Polish apartment with a radiator and a plant, shallow depth of field, realistic skin texture, slightly grainy, 16:9. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Podszywają się pod UPS i kradną wszystkie hasła z przeglądarki. Jak się bronić?

25 lipca, 2026 4 min read