Alerta: Versão falsa do Claude é usada para disseminar vírus de acesso remoto em PCs

Uma campanha maliciosa está utilizando a popularidade da inteligência artificial Claude, da Anthropic, para espalhar um vírus de acesso remoto. Segundo descoberta da Malwarebytes Labs, cibercriminosos criaram uma página fraudulenta que imita o site oficial, oferecendo o download de uma suposta versão “Pro” para Windows através de um arquivo compactado (ZIP).

Como o ataque funciona

O golpe é sofisticado e desenhado para não levantar suspeitas. Veja o passo a passo da infecção:

1. Isca e Instalação: A vítima baixa o arquivo Claude-Pro-windows-x63.zip. Ao executá-lo, um instalador legítimo em aparência cria um atalho na área de trabalho.
2. O Disfarce: Quando o usuário clica no atalho, a interface real do Claude é aberta em primeiro plano. No entanto, em segundo plano, um script malicioso (VBScript) começa a agir.
3. Execução Silenciosa: O script copia arquivos maliciosos para a pasta de inicialização do Windows. Entre eles está o NOVUpdate.exe, um arquivo legítimo do antivírus G DATA que é “sequestrado” para carregar uma biblioteca infectada (avk.dll).
4. Conexão com Invasores: Em menos de 30 segundos após a execução, o malware estabelece conexão com servidores externos (hospedados na Alibaba Cloud), permitindo que os criminosos controlem o PC remotamente.

O Truque da DLL Sideloading: O uso de um arquivo assinado e legítimo (do antivírus G DATA) serve para enganar programas de segurança, que muitas vezes não barram o processo por considerarem o executável principal confiável.

Histórico e Origem: O Retorno do PlugX

A técnica utilizada é uma marca registrada do PlugX, um trojan de acesso remoto (RAT) utilizado em campanhas de espionagem desde 2008. Embora historicamente ligado a grupos de interesse do Estado chinês, o código circula em fóruns clandestinos, permitindo que diversos grupos criminosos o utilizem. O script ainda apaga os próprios rastros após a infecção para dificultar a análise forense.

Sinais de Infecção e Como se Proteger

Como o aplicativo falso funciona normalmente, o usuário pode não perceber o roubo de dados. Para verificar se o seu sistema foi comprometido, busque pelos seguintes indicadores:

• Arquivos suspeitos: Verifique se há os arquivos NOVUpdate.exe, avk.dll ou NOVUpdate.exe.dat na pasta de inicialização do Windows.
• Diretório incorreto: Procure por uma pasta com erro de digitação no caminho: C:\Program Files (x86)\Anthropic\Claude\Cluade\.
• Conexões de rede: Monitore conexões de saída para o endereço IP 8.217.190.58.

Recomendações de Segurança:

• Fonte Oficial: Baixe o Claude apenas pelo endereço legítimo: claude.com/download.
• Desconfie de E-mails: O grupo utiliza plataformas de e-mail marketing (Kingmailer e CampaignLark) para enviar links fraudulentos.
• Ação imediata: Caso encontre os arquivos citados, desconecte o PC da internet, realize uma varredura completa com um antivírus atualizado e altere todas as suas senhas.