Un falso sito di Claude sta sfruttando la popolarità del chatbot per spingere gli utenti a scaricare un archivio ZIP infetto. La trappola è curata nei dettagli: grafica simile all’originale, presenza tra i link sponsorizzati e promessa di una versione Pro per Windows.
Dietro l’apparenza, però, si nasconde una campagna di malvertising che porta a un installer malevolo capace di installare una backdoor sul computer della vittima. La scoperta è stata segnalata dai ricercatori di Sophos, mentre Malwarebytes aveva già rilevato una variante collegata al malware PlugX.
Claude e il sito fake che diffonde malware
Il meccanismo è semplice ma efficace: il sito fasullo utilizza gli stessi colori e caratteri della piattaforma legittima, così da sembrare affidabile anche a un occhio attento. In più, viene promosso attraverso la tecnica del SEO poisoning, che consente di far comparire la pagina tra i risultati sponsorizzati dei motori di ricerca.
Chi pensa di scaricare Claude per Windows finisce invece per ottenere un archivio ZIP da circa 505 MB. Al suo interno c’è un file MSI, chiamato Claude.msi, che avvia la catena di infezione. Una volta eseguito, il pacchetto copia alcuni file nella cartella di esecuzione automatica, tra cui NOVupdate.exe, NOVupdate.exe.dat e avk.dll.
Il primo elemento sfrutta un componente legittimo di G DATA per caricare una DLL in memoria, usando una tecnica nota come DLL sideloading. Da lì parte l’installazione del payload vero e proprio, che secondo le analisi può variare a seconda della campagna monitorata.
Come funziona l’infezione e quali rischi comporta
Secondo Malwarebytes, nella fase finale viene installato PlugX, una backdoor già nota agli esperti di sicurezza. Sophos, invece, ha individuato nel file DAT un loader Donut che carica in memoria Beagle, un’altra backdoor in grado di eseguire operazioni su file e directory da remoto.
Beagle comunica con il server di comando e controllo in forma cifrata, usando AES su TCP porta 443 e UDP porta 8080. Questo rende più difficile intercettare il traffico e capire cosa stia accadendo sul sistema compromesso. Non sono stati identificati con certezza gli autori, ma la somiglianza con la catena di infezione osservata per PlugX fa pensare a gruppi collegati o comunque con tecniche simili.
Come proteggersi dai siti fasulli di Claude
La difesa migliore è scaricare Claude solo dal sito ufficiale ed evitare i link sponsorizzati, anche quando sembrano legittimi. È utile prestare attenzione ai risultati di ricerca, soprattutto se promettono versioni “Pro” o download diretti non disponibili nella pagina autentica.
Conviene anche mantenere aggiornati antivirus e sistema operativo, oltre a diffidare degli archivi ZIP di grandi dimensioni ricevuti da fonti non verificate. In casi come questo, un click in meno può evitare l’installazione di una backdoor e il furto di dati o l’accesso remoto al dispositivo.
