Современные практики установки программного обеспечения, особенно в среде разработчиков, всё чаще полагаются на слепое доверие к домену. Распространённая команда "curl | bash", копируемая с официального сайта и вставляемая в терминал, стала де-факто стандартом для многих утилит командной строки. Однако эта простота оборачивается серьёзным риском, создавая идеальные условия для социальной инженерии. Новые данные демонстрируют масштабную кампанию, в которой злоумышленники используют вредоносную рекламу в поисковых системах (малвертизинг) для распространения клонированных сайтов популярных инструментов, подменяя легитимные команды установки на инструкции, загружающие программы-похитители информации.
Описание
Атака, получившая название InstallFix, представляет собой эволюцию известных техник социальной инженерии, таких как ClickFix (зловредное копирование и вставка). Однако между ними есть ключевое отличие. Классические атаки ClickFix вынуждены создавать для пользователя ложный повод выполнить команду - например, имитировать сбой системы, капчу или системное уведомление. В случае с InstallFix предлог абсолютно легитимен и исходит от самого пользователя: он хочет установить нужное и популярное программное обеспечение. Это снимает барьер подозрительности и делает атаку более эффективной. Злоумышленникам остаётся лишь скопировать официальную страницу загрузки, разместить её на домене-двойнике и обеспечить поток жертв, что успешно решается через покупку рекламных мест в поиске.
Исследователи недавно задокументировали такую кампанию, нацеленную на один из самых быстрорастущих инструментов для разработчиков - Claude Code от компании Anthropic. Это ИИ-ассистент для командной строки, рекомендованная установка которого как раз представляет собой однострочную команду. Атакующие создали практически пиксель-в-пиксель точную копию официальной страницы установки, включая фирменный стиль и структуру документации. Единственное существенное изменение было внесено в блок с командой для терминала: вместо скрипта с домена "claude.ai" он указывал на сервер, контролируемый злоумышленниками. Подробности этой кампании и технические индикаторы компрометации были опубликованы в отчёте специалистов по безопасности.
Распространение фишинговых страниц осуществлялось исключительно через платную рекламу Google Ads. При поиске запросов вроде "Claude Code install" или "Claude Code CLI" пользователям в первых результатах показывалось рекламное объявление, ведущее на клонированный сайт. Поскольку спонсируемая ссылка отображается выше органических результатов, а её URL выглядел правдоподобно (поисковые системы часто скрывают поддомены в отображаемом адресе), у жертв было меньше шансов заподозрить неладное до перехода. Этот канал доставки особенно опасен, так как обходит традиционные средства защиты, основанные на анализе электронной почты. Пользователь сам инициирует взаимодействие, целенаправленно ища инструмент для установки, что делает атаку высокотаргетированной и скрытной.
Полезной нагрузкой в данной кампании выступает программа-похититель информации Amatera Stealer. Это относительно новое вредоносное ПО, появившееся в 2025 году как эволюция более старого ACR Stealer. Оно распространяется по модели злонамеренного софта как услуги (Malware-as-a-Service) и предназначено для кражи конфиденциальных данных: сохранённых в браузере паролей, файлов cookie, токенов сессий и системной информации. Для усложнения детектирования Amatera использует такие техники, как прямое сетевое взаимодействие через NTSockets, динамическое разрешение API-вызовов и многоэтапные цепочки заражения с динамической доставкой полезной нагрузки. Кроме того, её командный сервер может использовать IP-адреса легитимных CDN-сетей, что затрудняет блокировку вредоносного трафика без нарушения работы обычных сервисов.
Важно понимать, что проблема не ограничивается одним Claude Code. Эта кампания - часть более широкого тренда, когда под прицелом оказываются любые популярные инструменты с простой процедурой установки через командную строку. Аналогичным способом уже атаковались страницы установки Homebrew для macOS, распространяя похититель Cuckoo. Вредоносные репозитории, имитирующие проект OpenClaw, продвигались через Bing с ИИ-поиском. В экосистеме npm появлялись троянизированные пакеты, нацеленные на опечатки в названии официального пакета Claude Code. Это универсальная схема, применимая к любому проекту, который часто ищут в интернете и страницу которого можно легко скопировать.
Защита от подобных атак требует многоуровневого подхода. Со стороны организаций критически важна техническая и социальная осведомлённость разработчиков. Рекомендуется максимально отходить от практики установки через "curl | bash" в пользу использования менеджеров пакетов (таких как brew, apt, npm), которые обеспечивают проверку целостности и источников. Если же такой способ необходим, следует всегда вручную проверять домен в команде перед выполнением, а также использовать флаги, ограничивающие выполнение скриптов. В корпоративной среде можно применять решения для безопасного просмотра, которые анализируют контент страницы непосредственно в браузере, независимо от того, как пользователь на неё попал - через фишинг-письмо или рекламу в поисковике. Такие системы способны обнаруживать комбинацию сигналов: домены-двойники, элементы интерфейса с командами для копирования и признаки малвертинга. В конечном счёте, инцидент лишний раз демонстрирует, что модель безопасности, основанная исключительно на доверии к доменному имени, в современной цифровой среде является архаичной и опасной.
Индикаторы компрометации
Domains
- asdasdasdadsvvvvv.pages.dev
- cladueall.pages.dev
- claud-code.pages.dev
- claude.update-version.com
- claudecode-developers.squarespace.com
- claude-code-docs-dvlr2jpuuw.edgeone.app
- claude-code-docs-site.pages.dev
- claude-code-install.squarespace.com
- claude-code-macos.com
- claudecodeupdate.squarespace.com
- claude-code-update.squarespace.com
- claulastver.squarespace.com
- contatoplus.com
- hgjbulk.pages.dev
- jhgyuifyfiguohi.pages.dev
- myclauda.it.com
- nnnnnnnnnnnnnnnnnnnnn.pages.dev
- sarahmoftah.com
- vdsafsaf.it.com
