App "Fake Claude": l’annuncio su Bing rimandava al sito ufficiale di Anthropic

Chiunque abbia cercato l’app desktop Claude su Bing negli ultimi giorni avrebbe potuto scaricare malware senza commettere alcun errore evidente. L’annuncio a pagamento in cima alla pagina rimandava a claude.ai, il vero indirizzo di Anthropic. La trappola era proprio lì.

La società di sicurezza Huntress ha reso noto il caso il 22 luglio. Almeno 29 organizzazioni sono state colpite tra il 21 e il 22 luglio. Huntress ha denominato la campagna «FakeAgent».

La pagina contraffatta era ospitata sul dominio di Anthropic stesso

Ciò è stato reso possibile da una funzionalità denominata «Artifacts». Claude la utilizza per visualizzare codice, documenti o intere pagine web in un pannello accanto alla chat. Gli «Artifacts» possono essere condivisi pubblicamente e chiunque può quindi aprirli senza bisogno di un account. Gli autori dell’attacco hanno creato in questo modo una copia funzionante della pagina di download ufficiale, per poi acquistare un annuncio sponsorizzato su Bing che rimandava a essa.

L’unico indizio era una breve riga nell’angolo in alto a sinistra: «Il contenuto è generato dagli utenti e non verificato». Chiunque controllasse invece la barra degli indirizzi vedeva claude.ai e cliccava. La pagina ha totalizzato 7.100 visualizzazioni prima che Anthropic la rimuovesse, in seguito alla segnalazione da parte di Huntress.

Il pulsante di download portava effettivamente fuori dal sito, prima a claude.ai.download-app[.]us e da lì a downloading-api.it[.]com. Il trucco sta nel modo in cui è costruito l’indirizzo. In questo caso, claude.ai è solo un sottodominio che precede il dominio effettivo, download-app.us, registrato il 9 maggio.

Un file autentico contenente il codice di qualcun altro

Il file ClaudeDesktop.exe che viene salvato sul disco non è affatto il software Claude. Si tratta di un componente autentico e firmato da JetBrains, che consente il sideloading delle DLL. DLL è l’acronimo di Dynamic Link Library, ovvero una libreria di programmi che un’applicazione carica all’avvio. In un attacco di sideloading, l’autore dell’attacco inserisce una copia manomessa di tale libreria accanto al programma integro. Il programma la carica senza sospetti e il codice dannoso viene eseguito sotto la copertura del file firmato.

All’estremità della catena si trova SectopRAT, un trojan di accesso remoto in circolazione dal 2019. Esso sottrae password, dati delle carte di credito, file, credenziali di accesso e cookie dei browser, credenziali FTP, dati provenienti da Discord e Telegram, nonché account Steam e VPN. Per garantire un accesso permanente, la campagna inserisce inoltre un file denominato DockerDesktop.exe e lo registra come attività pianificata, il che provoca il reinfezione ripetuta del sistema.

Il malware contrasta le analisi. È compresso e verifica la scheda grafica e la memoria video per individuare le macchine virtuali, ovvero i sistemi di test isolati utilizzati dai ricercatori di sicurezza. Huntress afferma di aver utilizzato Claude Opus 4.8 per la propria analisi, il predecessore del Claude Opus 5 recentemente rilasciato.

Il trucco non è nuovo

Già a maggio, un sito web falso dedicato a Claude stava diffondendo una backdoor per Windows tramite annunci pubblicitari su Google. E ad aprile, secondo Huntress, lo stesso autore ha utilizzato Docker Hub per diffondere un falso programma di installazione di Docker Desktop basato esattamente sulla stessa libreria manomessa. Ciò spiega anche perché un file denominato DockerDesktop.exe fosse ancora presente nel pacchetto di questo mese.

Cosa si può dedurre da tutto ciò

La barra degli indirizzi è meno affidabile di quanto la maggior parte delle persone creda. Quando una piattaforma ospita contenuti generati dagli utenti sotto il proprio dominio – come fanno claude.ai, Google Docs e GitHub – il nome del dominio non fornisce alcuna garanzia su ciò che si otterrà. Pertanto, il software non dovrebbe arrivare sul vostro computer tramite un annuncio di ricerca. Anthropic distribuisce le app Claude all’indirizzo claude.com/download, mentre gli altri programmi devono essere scaricati dal sito ufficiale del produttore, digitato direttamente o salvato tra i segnalibri. I risultati sponsorizzati compaiono in cima alla lista perché qualcuno ha pagato per essi, non perché siano stati verificati.

Se qualcosa dovesse comunque sfuggire ai controlli, è la seconda linea di difesa a fare la differenza. Un infostealer come SectopRAT punta direttamente alle credenziali salvate nel Suo browser. Abbiamo illustrato come proteggere i Suoi account in modo che una password rubata da sola non sia sufficiente.