Фалшив сайт на Anthropic се използва за разпространение на PlugX malware

Киберпрестъпници са създали фалшив уебсайт, който имитира официалната услуга Anthropic и популярния чатбот Claude, като чрез него разпространяват отдалечен троянски достъп (RAT), според анализ на Malwarebytes.

Кампанията използва нарастващата популярност на услугата, която генерира стотици милиони посещения месечно, за да подмами потребителите да изтеглят заразен софтуер.

Как работи атаката

Жертвите биват подведени да изтеглят:

• ZIP архив, представен като „Pro версия“ на Claude
• MSI инсталатор, който имитира легитимната инсталационна верига

Инсталаторът първоначално инсталира реалното приложение на Anthropic, но след това активира скрито поведение:

• при стартиране на приложението се изпълнява VBScript dropper
• зареждат се зловредни файлове в startup директорията
• стартира се бекдор чрез DLL sideloading

Какъв malware се използва

Атаката използва модифицирана версия на PlugX – добре познат троянски софтуер за отдалечен достъп (RAT), използван в шпионски кампании от години.

Характеристиките включват:

• използване на легитимен подписан EXE файл
• зловредна DLL библиотека за изпълнение
• криптирани данни за скрито зареждане
• механизъм за постоянство в системата

PlugX традиционно се свързва с шпионски операции, включително кампании с държавна подкрепа, но кодът му вече циркулира свободно, което увеличава риска от нови оператори.

Защо атаката е ефективна

Според изследователите, нападателите комбинират:

• популярност на AI инструменти
• доверие в официални инсталационни пакети
• техника DLL sideloading
• визуално почти идентични инсталационни структури

Дори малка промяна като изписването „Cluade“ вместо „Claude“ често остава незабелязана от потребителите.

Какво прави атаката опасна

След успешна инфекция нападателите получават:

• отдалечен достъп до системата
• възможност за изпълнение на команди
• кражба на данни
• постоянен контрол върху устройството

Контекст и предишни атаки

Anthropic вече е била цел на различни опити за експлоатация, включително критична уязвимост в разширение за Chrome, която е позволявала компрометиране на акаунти чрез злонамерени сайтове.