Cibercriminales están aprovechando el interés por las herramientas de IA mediante el uso de envenenamiento SEO para posicionar páginas falsas de instalación de Claude Code en los primeros resultados de búsqueda. El objetivo de esta campaña es engañar a los usuarios para que visiten un sitio fraudulentamente similar al de Anthropic y así robar sus credenciales mediante la descarga de un infostealer de .NET sin archivos.

Están aprovechando el entusiasmo por las herramientas de programación con IA centrándose en los usuarios que buscan guías de instalación de Claude Code. Una campaña activa utiliza páginas de instalación falsas para robar silenciosamente credenciales de víctimas desprevenidas.

Los atacantes utilizan el envenenamiento de SEO para posicionar una página de instalación de Anthropic falsificada en la parte superior de los resultados de búsqueda. Una vez que aterrizas ahí, la trampa está puesta.

La campaña está diseñada para un público muy específico. En lugar de dirigirse a profesionales de TI, va tras desarrolladores novatos y usuarios no técnicos emocionados por una herramienta nueva.

Estos usuarios no tienen una base de cómo es un proceso de instalación real, lo que hace que sea más probable que sigan las instrucciones sin cuestionarlas. La cadena de entrega tiene seis etapas de profundidad y es casi totalmente sin archivos después del primer paso.

Analistas de Cyderes, a través de su unidad de investigación de amenazas Howler Cell, identificaron esta campaña activa de envenenamiento de SEO dirigida a usuarios que buscan guías de instalación de Claude Code.

Según el informe de Cyderes compartido con Cyber Security News (CSN), los atacantes colocaron una página de instalación de Anthropic falsificada en los primeros resultados de búsqueda y utilizaron un señuelo de "ClickFix" para ejecutar un comando MSHTA malicioso a través del cuadro de diálogo Ejecutar de Windows.

La carga útil final es un infostealer de .NET reflectivo que se comunica con una infraestructura rusa para la exfiltración de credenciales.

Las consecuencias de una infección exitosa son graves. Credenciales robadas, cuentas vaciadas e identidades comprometidas se encuentran entre los resultados del mundo real que Howler Cell señaló en su análisis.

Muchas víctimas no tienen controles de seguridad empresariales entre ellas y una página de descarga falsificada. Anthropic no ha sido comprometida y su marca simplemente está siendo suplantada.

Lo que hace que esta campaña destaque es la lógica de segmentación deliberada. Los operadores rastrearon la rápida adopción de Claude Code y la convirtieron en una superficie de ataque.

La cadena de entrega fue diseñada para derrotar la inspección de archivos, el escaneo AMSI, la telemetría EDR, el análisis de sandbox y la coincidencia de IOC en cada capa.

Usan una página de instalación falsa de Claude Code

El ataque comienza cuando buscas "Claude Code install" y haces clic en lo que parece ser una página de configuración legítima de Anthropic.

La página indica al visitante que abra el cuadro de diálogo Ejecutar de Windows y pegue un comando mshta.exe preconfigurado, presentado como un paso obligatorio.

Este es el método ClickFix, una técnica de ingeniería social que disfraza comandos MSHTA controlados por el atacante como pasos de configuración rutinarios.

La Etapa 1 comienza cuando mshta.exe recupera una carga útil políglota MP3/HTA de 6,7 MB desde download.version-516[.]com/claude.

Este archivo pasa como audio reproducible durante los escaneos de seguridad, mientras oculta un bloque de script HTA ejecutable en su interior.

Cuando mshta.exe procesa el archivo, omite el audio y ejecuta el script oculto. Las herramientas de seguridad que inspeccionan la cabecera del archivo ven un MP3 legítimo, no una amenaza.

La Etapa 2 utiliza el HTA para registrar una tarea programada a través de un objeto COM, lanzando un proceso PowerShell de 32 bits. El objetivo de usar el binario de 32 bits es intencional, ya que la cobertura de EDR a menudo se inclina hacia la actividad de 64 bits.

El script realiza una omisión de AMSI, descifrado RC4 y el "fingerprinting" de la víctima mediante un hash MD5 de la máquina y el nombre de usuario. La Etapa 3 obtiene un script ofuscado de 17 MB en memoria desde un subdominio único en oakenfjrod[.]ru, sin dejar nada en el disco.

Infostealer .NET reflectivo: sin archivos y difícil de detectar

La etapa final es un infostealer de .NET reflectivo que se ejecuta enteramente dentro del espacio de direcciones del proceso PowerShell existente. No deja ningún artefacto de archivo, no lanza ningún proceso nuevo y no crea ningún evento de carga de imagen para que los defensores se apoyen en él.

El método de carga imita técnicas utilizadas por herramientas avanzadas como Cobalt Strike, pero ejecutado totalmente desde PowerShell.

El infostealer se comunica vía HTTPS con 185[.]177[.]239[.]255:443 para el comando y control y el robo de credenciales. La telemetría de SensitiveFileRead confirmó el acceso al almacén de credenciales del navegador durante la ejecución.

Las plataformas EDR con visibilidad de carga de ensamblados .NET pueden detectar esto donde los controles basados en archivos no pueden. Los defensores deben tratar cualquier página de instalación de Claude Code que solicite pegar algo en un cuadro de diálogo Ejecutar como un probable evento de infección.

Bloquear las conexiones HTTPS salientes de mshta.exe cubre la Etapa 1 independientemente de la ofuscación. Las consultas DNS a cualquier subdominio de oakenfjrod[.]ru son un fuerte indicador de compromiso, y el bloqueo de dominios con comodín es mucho más efectivo que la coincidencia de IOC por subdominio.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	download.version-516[.]com	Entrega de carga útil HTA; sitio falso de descarga de Claude Code
Dominio	oakenfjrod[.]ru	C2 de Etapa 3 (comodín: *.oakenfjrod[.]ru)
IP	185[.]177[.]239[.]255	IP de C2 final del stealer para exfiltración de credenciales
URL	https://[md5_16char].oakenfjrod[.]ru/claude-[uuid]	Estructura de URL de beacon C2 por víctima

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-use-fake-claude-code-install-page/