Злоумышленники используют Claude для распространения вирусов

Пользователи, ищущие в Google способы установки Claude на macOS, рискуют стать жертвами новой вредоносной кампании. Злоумышленники выкупают рекламную выдачу, направляя людей не на страницу загрузки, а в публичный чат Claude.ai, где под видом технической инструкции скрывается команда для запуска опасных скриптов прямо в терминале системы.

Инженер по безопасности Берк Албайрак обнаружил, что хакеры используют легитимные функции ИИ-платформы для обхода фильтров доверия. Поскольку ссылка в рекламном объявлении ведет на официальный домен Claude.ai, у пользователей не возникает подозрений. Внутри чата жертве предлагают выполнить команду, которая активирует цепочку скрытых процессов. Вредоносный код работает в оперативной памяти, не оставляя следов на жестком диске, и использует полиморфную доставку, что делает его невидимым для большинства антивирусных сигнатур.

Атака нацелена исключительно на западных пользователей: скрипт проверяет настройки системы и автоматически прекращает работу, если обнаруживает русскую раскладку или параметры стран СНГ. На зараженных устройствах вредоносное ПО, идентифицированное как модификация инфостилера MacSync, похищает пароли из браузеров, cookies и содержимое Keychain. Эксперты предупреждают, что использование официальных площадок для атак делает схему крайне эффективной, так как доверие к известному бренду перекрывает бдительность жертвы. Единственный способ обезопасить себя — игнорировать любые инструкции, требующие копирования команд из чатов в терминал, и избегать переходов по рекламным ссылкам в поисковиках.