Sites falsos da Anthropic distribuem infostealer furtivo contra usuários do Claude Code

O ataque contra usuários do Claude Code não é um desvio isolado, mas o ponto mais recente de uma cadeia de exploração sistemática da marca Anthropic, e do próprio conceito de 'instalador de IA', por criminosos que apostam na urgência e na falta de escrutínio técnico dos usuários. A Cyderes identificou um infostealer fileless que se disfarça como um MP3, mas na verdade é um script HTA poliglota executado via mshta.exe, um binário legado do Windows que ainda funciona sem aviso em todas as versões atuais. Esse vetor foi escolhido com propósito: ele evita detecção em sandboxes (por causa do tamanho ofuscado de 17 MB), contorna AMSI com técnicas conhecidas desde 2024, e injeta código .NET diretamente na memória de um processo PowerShell de 32 bits, uma manobra deliberada para escapar de EDRs que priorizam monitoramento de processos de 64 bits.

A infraestrutura C2 está hospedada em domínios russos (*.oakenfjrod[.]ru) e IP 185.177.239.255:443, alinhando-se a padrões observados pelo NCSC UK em abril de 2026 sobre grupos pró-Rússia que exploram credenciais roubadas via DNS hijacking e reutilização de senhas. Diferentemente de campanhas anteriores que usavam apenas typosquatting (como claudecode.co.com), essa nova onda incorpora SEO poisoning + ClickFix + arquivo poliglota, indicando uma evolução operacional, não só no vetor, mas na engenharia social: ela mira explicitamente iniciantes (professores, pequenos empresários) que não têm EDR corporativo nem hábito de validar hashes ou assinaturas digitais.

Na cobertura anterior de 25 de maio, a EclecticIQ já havia mapeado o uso de SEO poisoning para 'claude code install', mas com instaladores typosquatted estáticos, arquivos .exe maliciosos baixados diretamente. Agora, a Cyderes mostra que os atacantes migraram para um fluxo totalmente fileless: nenhuma instalação real, nenhum arquivo persistente no disco. O comando mshta.exe carrega o payload em tempo real, o PowerShell 32 bits executa em memória, e o infostealer nunca toca o sistema de arquivos. Isso representa uma mudança tática concreta: de distribuição baseada em enganar o download para distribuição baseada em enganar a execução. Também é a primeira vez que o CEVIU registra o uso combinado de poliglotismo (MP3/HTA) + bypass de AMSI + injeção direta de .NET em memória contra o ecossistema Claude Code, algo que não aparecia nas campanhas anteriores de Gemini CLI ou LLMShare.

Esse ataque expõe uma falha crítica na cadeia de confiança em torno de ferramentas de IA: não é mais preciso comprometer a infraestrutura da Anthropic, basta clonar sua identidade visual, explorar a busca orgânica e usar binários legítimos do Windows como armas. O mshta.exe está ativo há 25 anos e será desabilitado só em 2027; até lá, continua sendo um LOLBIN altamente eficaz. Para empresas, isso significa que políticas de segurança que bloqueiam apenas downloads de .exe ou .msi são insuficientes. É preciso monitorar comportamentos anômalos de processos nativos (mshta, powershell, certutil), conexões inesperadas de scripts e execuções em memória sem escrita no disco. Para desenvolvedores, o risco vai além do navegador: o infostealer pode roubar tokens de API, cookies de sessão do GitHub e credenciais de CI/CD armazenadas no gerenciador de senhas do sistema.