В эпоху, когда инструменты искусственного интеллекта стали неотъемлемой частью рабочих процессов, злоумышленники с пугающей изобретательностью эксплуатируют эту зависимость. Исследователи компании Trend Micro обнаружили кампанию, получившую название InstallFix. Она использует поддельные страницы установки популярного AI-ассистента Claude от компании Anthropic для распространения вредоносного ПО. За счёт рекламы в Google Ads мошенники перехватывают пользователей, которые ищут способы установить Claude, и заставляют их запускать вредоносные команды.
Описание
Кампания нацелена на организации из самых разных отраслей: правительственные учреждения, компании электронной промышленности, образовательные учреждения и предприятия пищевой отрасли. География атак охватывает страны Америки, Азиатско-Тихоокеанского региона, Ближнего Востока, Африки и Европы. Среди конкретных стран, где зафиксированы инциденты, - Малайзия, Нидерланды, Таиланд и Соединённые Штаты. Масштаб угрозы усугубляется тем, что под удар попадают как технически подкованные разработчики, так и обычные пользователи, всё чаще использующие командную строку при установке современного софта.
Схема атаки классическая для социальной инженерии. Когда пользователь вводит в поиске Google запросы вроде "Claude Code" или "Claude Code install", в верхней части результатов появляется спонсированная ссылка. Она ведёт на поддельную страницу, стилизованную под официальную инструкцию по установке. Там жертве предлагается скопировать и выполнить команду, якобы необходимую для установки. При этом кнопки на странице не работают, что лишь усиливает иллюзию ручной настройки. В результате пользователь запускает из браузера или оболочки команду, вызывающую программу mshta.exe - штатный компонент Windows, который часто используют в атаках.
Mshta.exe загружает файл с удалённого сервера download-version.1-5-8.com. Несмотря на расширение .msixbundle, этот файл на самом деле является так называемым полиглотом - он одновременно представляет собой ZIP-архив и HTA-документ. Первые 882290 байт - это настоящий архив с легитимными пакетами Microsoft, подписанными действительными сертификатами. Однако mshta.exe считывает HTA-содержимое, добавленное в конец файла. Именно этот HTA-файл содержит вредоносный скрипт VBScript.
Сценарий VBScript выполняет несколько этапов обфускации. Он генерирует уникальный идентификатор жертвы на основе имени компьютера и имени пользователя, отключает проверку SSL-сертификатов и пытается обойти механизм защиты AMSI (интерфейс защиты от вредоносного ПО Windows). Для этого используется ключ RC4 и запись значения 0x41414141 в контекст AMSI - так называемый патч AMSI, который ослепляет систему безопасности. После этого скрипт загружает дополнительную полезную нагрузку с сервера управления злоумышленников и выполняет её непосредственно в памяти, не сохраняя на диск.
Примечательно, что для каждой жертвы формируется уникальный адрес командного сервера. В URL подставляется 16-символьный хеш, вычисленный от идентификатора машины. Это серьёзно затрудняет массовую блокировку, так как каждый заражённый хост обращается к своему поддомену. В ходе динамического анализа выяснилось, что финальная нагрузка - это стилер RedLine (программа для кражи паролей, данных браузеров и криптокошельков). Вредонос пытается извлечь данные из браузеров и приложений электронных кошельков, после чего отправляет их на сервер злоумышленников.
Для закрепления в системе вредонос создаёт задания в планировщике Windows. Это позволяет ему перезапускаться после перезагрузки и оставаться незамеченным. Телеметрия TrendAI Vision One зафиксировала создание таких задач и исходящий сетевой трафик на IP-адреса, связанные с инфраструктурой злоумышленников.
Кампания InstallFix - яркий пример того, как доверие к известным брендам и привычка копировать команды с веб-страниц могут обернуться серьёзными последствиями. Злоумышленники эксплуатируют не только техническую невнимательность, но и саму модель распространения ПО через рекламу. Поскольку Google Ads позволяет покупать показы по ключевым словам, мошенники могут гарантированно показывать свою поддельную страницу тем, кто ищет нужное приложение.
Организациям стоит обратить особое внимание на обучение сотрудников правилам безопасной установки ПО. Не следует копировать и запускать команды с незнакомых сайтов, даже если те попали на экран благодаря рекламе. В идеале стоит использовать только официальные источники загрузки или корпоративные репозитории. На уровне защиты рабочих станций имеет смысл ограничить использование таких утилит, как mshta.exe, если в них нет производственной необходимости. Современные решения класса EDR (системы обнаружения и реагирования на конечных точках, от английского Endpoint Detection and Response) способны блокировать подозрительные цепочки процессов, как это сделал TrendAI Apex One в ходе атаки.
Учитывая рост популярности AI-инструментов, следует ожидать новых подобных кампаний. Каждый раз, когда миллионы людей начинают осваивать новую технологию, мошенники подстраивают свои схемы под их ожидания. InstallFix показывает, что даже осторожные пользователи могут попасться на удочку, если доверяют рекламной выдаче. Ключевая защита здесь - не столько технические средства, сколько привычка дважды проверять источник перед тем, как что-то запустить.
Индикаторы компрометации
IPv4
- 104.21.0.95
- 185.177.239.255
- 77.91.97.244
Domains
- download-version.1-5-8.com
- hosted-by.yeezyhost.net
- oakenfjrod.ru
URLs
- https://.oakenfjrod.ru/cloude-91267b64-989f-49b4-89b4-984e0154d4d1
- https://download-version.1-5-8.com/claude.msixbundle
SHA256
- 2b99ade9224add2ce86eb836dcf70040315f6dc95e772ea98f24a30cdf4fdb97
- 2f04ba77bb841111036b979fc0dab7fcbae99749718ae1dd6fd348d4495b5f74
- ec1206989449d30746b5ceb2b297cda9f3f09636a0e122ecafb40b1dc2e86772
