Site falso do Claude distribui malware PlugX por meio de ataque de sideloading

Detalhes do ataque

Um site falso que se passa pelo Claude da Anthropic serve um instalador trojanizado que implanta o malware PlugX. O domínio imita o site oficial do Claude, e visitantes que baixam o arquivo ZIP recebem uma cópia do Claude que instala e executa conforme o esperado enquanto implanta malware em segundo plano.

Execução técnica

O site falso oferece um arquivo chamado Claude-Pro-windows-x64.zip. O ZIP contém um instalador MSI que instala em C:\Program Files (x86)\Anthropic\Claude\Cluade\ - observe o erro de digitação "Cluade" como um sinal de alerta. O instalador coloca um atalho Claude AI.lnk na Área de Trabalho apontando para Claude.vbs dentro do diretório SquirrelTemp.

Quando executado, o dropper VBScript:

• Localiza e executa o claude.exe legítimo de C:\Program Files (x86)\Anthropic\Claude\Cluade\claude.exe
• Cria um novo atalho Claude.lnk na Área de Trabalho apontando diretamente para claude.exe
• Copia três arquivos do SquirrelTemp para a pasta Inicialização do Windows: NOVUpdate.exe, avk.dll e NOVUpdate.exe.dat
• Inicia NOVUpdate.exe com uma janela oculta (estilo de janela 0)

Implantação do malware

Este é um ataque de DLL sideloading (MITRE T1574.002). NOVUpdate.exe é um atualizador do antivírus G DATA assinado legitimamente que tenta carregar avk.dll de seu diretório. O atacante substitui por uma versão maliciosa de avk.dll que lê e descriptografa o payload do arquivo .dat que o acompanha.

Esta tríade de sideloading de três componentes (executável assinado, DLL trojanizada, arquivo de dados criptografado) é característica da família de malware PlugX, um Trojan de acesso remoto rastreado desde 2008.

Comportamento e infraestrutura

A análise em sandbox mostra que NOVUpdate.exe estabelece conexões TCP de saída para 8.217.190.58 na porta 443 dentro de 22 segundos da execução. O IP está dentro de um intervalo de endereços associado à Alibaba Cloud (8.217.x.x). O malware também modifica a chave do registro HKLM\System\CurrentControlSet\Services\Tcpip\Parameters.

O script dropper inclui medidas anti-forenses: após implantar os arquivos de payload, ele escreve um arquivo em lote ~del.vbs.bat que espera dois segundos e, em seguida, exclui tanto o VBScript original quanto o próprio arquivo em lote.