O site falso do Claude AI está divulgando um backdoor do Windows por meio dos resultados de pesquisa do Google

Um site falso do Claude AI está divulgando um novo backdoor do Windows por meio de resultados de pesquisa patrocinados pelo Google. O domínio malicioso, claude-pro[.]com, se disfarça como a interface real do Claude e oferece uma ferramenta falsa chamada Claude-Pro Relay. A Sophos X-Ops publicou hoje sua análise completa da campanha. O Malwarebytes a encontrou primeiro.

A campanha é voltada para desenvolvedores. O site vende o Claude-Pro Relay como um "serviço de retransmissão de alto desempenho projetado especificamente para desenvolvedores do Claude Code" A única coisa que o senhor pode realmente fazer na página é clicar em um botão de download. Isso puxa um arquivo ZIP de 505 MB chamado Claude-Pro-windows-x64.zip, que contém um instalador MSI. O instalador coloca três arquivos na pasta de inicialização do Windows: um atualizador de antivírus G Data legítimo e assinado, renomeado NOVupdate.exe, um arquivo de dados criptografado e uma DLL maliciosa chamada avk.dll. Ele é instalado em C:Program Files (x86)AnthropicClaudeCluade - note o erro de ortografia - mas ninguém verifica o caminho de instalação.

Como funciona a cadeia de infecção

O binário assinado do G Data é usado para fazer o sideload do avk.dll. Esse é o cerne da técnica: usar a confiança de uma ferramenta de segurança legítima para passar pelas defesas. A DLL descriptografa o payload criptografado com uma chave XOR invertida, passa para o DonutLoader e o DonutLoader instala o backdoor Beagle no sistema.

O Beagle telefona para licence[.]claude-pro[.]com na porta TCP 443 ou na porta UDP 8080. O tráfego é criptografado com uma chave AES codificada, de modo que parece HTTPS normal para qualquer pessoa que esteja observando a conexão. O backdoor executa oito comandos: execução de shell, transferência de arquivos, listagem de diretórios e remoção automática. Isso é suficiente para o acesso remoto completo. Ele não tem nada a ver com o antigo worm Beagle baseado em Delphi baseado em Delphi, de 2004 - nome diferente, um bicho totalmente diferente.

A Sophos entrou esperando o PlugX. A configuração de sideload - binário G Data, avk.dll, payload criptografado por XOR - é a mesma cadeia que o Lab52 documentou em fevereiro de 2026 em uma campanha PlugX que usava convites falsos para reuniões. A carga útil era diferente. A Sophos agora acredita que o invasor reformulou uma cadeia conhecida ou retirou a técnica de outro grupo completamente diferente.

Os operadores não ficaram parados. O Malwarebytes os rastreou trocando de provedores de e-mail em massa do Kingmailer para o CampaignLark em abril de 2026, alternando a infraestrutura para ficar à frente das listas de bloqueio. O próprio servidor de hospedagem foi instalado em março de 2026, o que coloca o início da campanha cerca de seis semanas antes da divulgação pública de hoje.

Um padrão de ataques com a marca AI

Esta é a terceira vez em aproximadamente um ano que os invasores usam a marca da ferramenta de IA para executar uma campanha de sideload de DLL. A Bitdefender detectou páginas falsas do Claude Code sendo executadas por meio do Google Ads em março de 2026, usando o ClickFix para enganar os desenvolvedores e fazê-los colar comandos de terminal mal-intencionados. Antes disso, sites falsos de instaladores do DeepSeek executaram a mesma cadeia de sideload no início de 2025. A marca da IA muda para corresponder ao que é tendência na pesquisa. O método de infecção não muda.

A campanha é executada por meio de resultados de pesquisa patrocinados, o que significa que o site falso fica acima da listagem real do Claude para qualquer pessoa que pesquisar e clicar sem verificar o domínio. O Claude está disponível apenas em claude.com. A Anthropic não lançou nada chamado Claude-Pro Relay. A Sophos diz que encontrar o NOVupdate.exe ou o avk.dll na pasta de inicialização do Windows é um sinal confiável de que a máquina está comprometida.

O Notebookcheck cobriu anteriormente um incidente separado no qual um Agente de codificação de IA executado dentro do Cursor excluiu de forma autônoma todo o banco de dados de produção de uma startup e todos os backups sem a confirmação do usuário, destacando os riscos crescentes da implementação de ferramentas de IA sem as devidas proteções