Sitio falso de Claude distribuye malware PlugX mediante ataque de carga lateral.

Detalles del ataque

Un sitio web falso que se hace pasar por Claude de Anthropic sirve un instalador troyanizado que despliega malware PlugX. El dominio imita el sitio oficial de Claude, y los visitantes que descargan el archivo ZIP reciben una copia de Claude que se instala y ejecuta según lo esperado mientras despliega malware en segundo plano.

Ejecución técnica

El sitio falso ofrece un archivo llamado Claude-Pro-windows-x64.zip. El ZIP contiene un instalador MSI que se instala en C:\Program Files (x86)\Anthropic\Claude\Cluade\ - note la falta de ortografía "Cluade" como una señal de alerta. El instalador coloca un acceso directo Claude AI.lnk en el Escritorio que apunta a Claude.vbs dentro del directorio SquirrelTemp.

Cuando se ejecuta, el dropper VBScript:

• Localiza y ejecuta el claude.exe legítimo desde C:\Program Files (x86)\Anthropic\Claude\Cluade\claude.exe
• Crea un nuevo acceso directo Claude.lnk en el Escritorio que apunta directamente a claude.exe
• Copia tres archivos de SquirrelTemp a la carpeta de Inicio de Windows: NOVUpdate.exe, avk.dll y NOVUpdate.exe.dat
• Ejecuta NOVUpdate.exe con una ventana oculta (estilo de ventana 0)

Despliegue del malware

Este es un ataque de carga lateral de DLL (MITRE T1574.002). NOVUpdate.exe es un actualizador legítimamente firmado de G DATA antivirus que intenta cargar avk.dll desde su directorio. El atacante sustituye una versión maliciosa de avk.dll que lee y descifra el payload del archivo .dat adjunto.

Esta tríada de carga lateral de tres componentes (ejecutable firmado, DLL troyanizada, archivo de datos cifrado) es característica de la familia de malware PlugX, un troyano de acceso remoto rastreado desde 2008.

Comportamiento e infraestructura

El análisis en sandbox muestra que NOVUpdate.exe establece conexiones TCP salientes a 8.217.190.58 en el puerto 443 dentro de los 22 segundos de ejecución. La IP se encuentra dentro de un rango de direcciones asociado a Alibaba Cloud (8.217.x.x). El malware también modifica la clave del registro HKLM\System\CurrentControlSet\Services\Tcpip\Parameters.

El script dropper incluye medidas anti-forenses: después de desplegar los archivos de payload, escribe un archivo por lotes ~del.vbs.bat que espera dos segundos, luego elimina tanto el VBScript original como el propio archivo por lotes.