Descubren una campaña activa de malware dirigida a usuarios que buscan instalar Claude Code

Un investigador de seguridad ha identificado una sofisticada campaña de malware que aprovecha la popularidad de Claude Code para distribuir código malicioso. La estafa opera mediante anuncios pagados en Google que se posicionan por encima de los resultados legítimos cuando los usuarios buscan "install Claude Code". La campaña utiliza una página fraudulenta alojada en servidores de Squarespace que replica con precisión la interfaz oficial de la documentación de Claude. El sitio clonado mantiene el mismo diseño, secciones y redacción que el portal legítimo, pero sustituye los comandos de instalación genuinos por instrucciones maliciosas. Para usuarios de macOS, los atacantes distribuyen un comando curl ofuscado mediante codificación base64 que descarga un script desde un dominio comprometido. El comando incluye la bandera -k, que omite la verificación SSL, permitiendo que el malware se ejecute sin validación de seguridad. La URL está codificada específicamente para no ser visible a primera vista, lo que aumenta la probabilidad de que usuarios desprevenidos ejecuten el código sin sospechar. En Windows, la campaña aprovecha mshta.exe, un binario firmado de Microsoft que ejecuta archivos HTA. Esta técnica, conocida como "Living off the Land Binaries" (LOLBin), es un vector de ataque bien documentado que permite eludir muchas soluciones antivirus y de detección y respuesta de endpoints (EDR). Los investigadores han identificado varios indicadores de compromiso, incluyendo dominios fraudulentos diseñados para parecerse a direcciones oficiales. Uno de los servidores que aloja el payload de macOS aparentemente pertenece a un dominio personal comprometido de un estudiante de ingeniería, quien probablemente desconoce que su sitio ha sido utilizado para distribuir malware. Esta campaña representa un riesgo particular para la creciente comunidad de usuarios de Claude, herramienta de IA desarrollada por Anthropic que ha ganado popularidad entre desarrolladores y profesionales técnicos. La combinación de publicidad pagada, clonación visual profesional y técnicas de ofuscación sofisticadas sugiere que se trata de atacantes experimentados. Los expertos en seguridad recomiendan a los usuarios que verifiquen siempre la URL exacta antes de ejecutar comandos de instalación, accedan directamente al dominio oficial conocido y desconfíen de anuncios pagados para software técnico. Las organizaciones de seguridad están siendo alertadas sobre estos indicadores para actualizar sus sistemas de detección.