Поддельный сайт Claude AI продвигает бэкдор Windows через результаты поиска Google

Поддельный сайт Claude AI продвигает новый бэкдор для Windows через спонсируемые Google результаты поиска. Вредоносный домен, claude-pro[.]com, выдает себя за настоящий интерфейс Claude и предлагает поддельный инструмент под названием Claude-Pro Relay. Сегодня Sophos X-Ops опубликовал полный анализ этой кампании. Первым ее обнаружил Malwarebytes.

Кампания нацелена на разработчиков. Сайт продает Claude-Pro Relay как "высокопроизводительный ретрансляционный сервис, созданный специально для разработчиков кода Claude" Единственное, что Вы можете сделать на странице, - это нажать кнопку загрузки. Это приведет к появлению ZIP-файла размером 505 МБ под названием Claude-Pro-windows-x64.zip, который содержит программу установки MSI. Программа установки помещает в папку запуска Windows три файла: легитимный, подписанный антивирусный апдейтер G Data, переименованный в NOVupdate.exe, зашифрованный файл данных и вредоносную DLL под названием avk.dll. Он устанавливается в C:Program Files (x86)AnthropicClaudeCluade - обратите внимание на ошибку в написании - но никто не проверяет путь установки.

Как работает цепочка заражения

Подписанный двоичный файл G Data используется для боковой загрузки avk.dll. В этом и заключается суть техники - заимствовать доверие легитимного инструмента безопасности, чтобы проскользнуть мимо защиты. DLL расшифровывает зашифрованную полезную нагрузку с помощью обратного XOR-ключа, передает ее DonutLoader, и DonutLoader загружает бэкдор Beagle в систему.

Beagle звонит домой на licence[.]claude-pro[.]com по TCP-порту 443 или UDP-порту 8080. Трафик шифруется с помощью жестко закодированного ключа AES, поэтому для тех, кто следит за проводами, он выглядит как обычный HTTPS. Бэкдор выполняет восемь команд: выполнение оболочки, передача файлов, список каталогов и самоудаление. Этого достаточно для полноценного удаленного доступа. Он не имеет ничего общего со старым Delphi-червем Beagle 2004 года - другое название, совсем другой зверь.

Sophos ожидал увидеть PlugX. Схема боковой загрузки - бинарный файл G Data, avk.dll, зашифрованная XOR полезная нагрузка - та же самая цепочка, которую Lab52 задокументировал в феврале 2026 года в кампании PlugX, в которой использовались поддельные приглашения на встречу. Полезная нагрузка получилась другой. Теперь Sophos считает, что злоумышленник либо переделал известную цепочку, либо взял технику у другой группы.

Операторы не сидели на месте. Malwarebytes отследил, как в апреле 2026 года они сменили провайдера массовых рассылок с Kingmailer на CampaignLark, меняя инфраструктуру, чтобы опередить блок-листы. Сам хостинг-сервер был запущен в марте 2026 г., что означает начало кампании примерно за шесть недель до сегодняшнего публичного обнародования.

Закономерность атак под маркой ИИ

Это уже третий случай за год, когда злоумышленники используют брендинг инструментов искусственного интеллекта для запуска кампании по боковой загрузке DLL-файлов https://www.malwarebytes.com/blog/scams/2026/04/fake-claude-site-installs-malware-that-gives-attackers-access-to-your-computer. В марте 2026 года компания Bitdefender обнаружила поддельные страницы с кодом Клода, запущенные через Google Ads, которые использовали ClickFix, чтобы обмануть разработчиков и заставить их вставить вредоносные команды терминала. До этого поддельные сайты установщиков DeepSeek запускали ту же цепочку боковой загрузки в начале 2025 года. Бренд ИИ меняется, чтобы соответствовать трендам в поиске. Метод заражения не меняется.

Кампания проводится через спонсируемые результаты поиска, что означает, что фальшивый сайт располагался выше настоящего объявления Claude для всех, кто искал и кликал, не проверяя домен. Claude доступен только по адресу claude.com. Anthropic не выпускал ничего под названием Claude-Pro Relay. Sophos утверждает, что обнаружение NOVupdate.exe или avk.dll в папке запуска Windows является надежным признаком того, что компьютер взломан.

Ранее Notebookcheck уже рассказывал об отдельном инциденте, в котором Агент искусственного интеллекта для кодирования работающий внутри Cursor, автономно удалил всю производственную базу данных стартапа и все резервные копии без подтверждения пользователя. Это подчеркивает растущие риски развертывания инструментов искусственного интеллекта без надлежащих мер предосторожности