Хакеры используют фейковый сайт Claude AI для распространения вредоносного ПО

На фоне растущего интереса к технологиям искусственного интеллекта злоумышленники активно адаптируют свои методы, создавая поддельные платформы для распространения вредоносного программного обеспечения. Эксперты предупреждают пользователей о фальшивых сайтах, предлагающих загрузить популярные ИИ-инструменты, которые на самом деле содержат опасные трояны.

Исследователи из компании Sophos обнаружили один из таких поддельных ресурсов, имитирующих сервис Claude Pro, по адресу claude-pro[.]com. Веб-сайт был профессионально оформлен и выглядел идентично официальной странице claude.ai. Однако специалисты быстро выявили обман: все ссылки и кнопки на сайте, за исключением кнопки загрузки, не функционировали, перенаправляя обратно на главную страницу.

Пользователи, не заметившие подвоха и кликнувшие на кнопку загрузки, получали рабочую версию клиента Claude, но с неприятным дополнением. Установочный файл был заражён и доставлял вместе с программой вредоносное обновление и DLL-файл. По классической схеме DLL-сайдлоадинга (инъекции вредоносной библиотеки) «обновление» запускало вредоносную DLL, которая, в свою очередь, устанавливала загрузчик DonutLoader.

Распространение бэкдора Beagle

DonutLoader затем загружал относительно простой, но функциональный бэкдор под названием Beagle. Эта вредоносная программа способна выполнять команды, загружать и скачивать файлы, создавать каталоги, деинсталлировать агентов и обладает рядом других функций для контроля над скомпрометированной системой.

Sophos не смогла однозначно связать эту кампанию с какой-либо конкретной хакерской группировкой, однако предположила, что за ней, скорее всего, стоят те же операторы, что используют троян PlugX.

PlugX — это троян удалённого доступа (RAT), который обычно используется связанными с китайским государством хакерскими группами. Его цель — шпионаж за жертвами, кража данных и обеспечение постоянного доступа к взломанным системам. Вредоносная программа отличается высокой адаптивностью и модульностью, что позволяет злоумышленникам выполнять команды, делать снимки экрана, регистрировать нажатия клавиш и перемещаться по сети. PlugX активен более десяти лет и является одним из старейших известных RAT.

Предполагается, что злоумышленники планировали использовать вредоносную рекламу и так называемое «отравление поисковой выдачи» (SEO poisoning) для достижения своих целей. В связи с этим пользователям настоятельно рекомендуется тщательно проверять ссылки в результатах поиска перед посещением любых веб-сайтов и загрузкой программного обеспечения.

Твитнуть