Nep-Claude-app: de Bing-advertentie leidde naar de echte website van Anthropic

Iedereen die de afgelopen dagen op Bing naar de Claude-desktopapp heeft gezocht, had malware kunnen oplopen zonder ook maar één voor de hand liggende fout te maken. De betaalde advertentie helemaal bovenaan leidde naar claude.ai, het echte adres van Anthropic. De valstrik lag daar voor het grijpen.

Beveiligingsbedrijf Huntress maakte de zaak op 22 juli bekend. Tussen 21 en 22 juli werden ten minste 29 organisaties getroffen. Huntress noemt de campagne „FakeAgent“.

De valse pagina stond op het eigen domein van Anthropic

Een functie genaamd Artifacts maakte dit mogelijk. Claude gebruikt deze functie om code, documenten of volledige webpagina’s weer te geven in een paneel naast de chat. Artifacts kunnen openbaar worden gedeeld, en iedereen kan ze vervolgens openen zonder een account te hebben. De aanvallers bouwden op die manier een werkende kopie van de officiële downloadpagina en kochten vervolgens een gesponsorde Bing-advertentie die daarheen verwees.

De enige aanwijzing was een korte regel in de linkerbovenhoek: „De inhoud is door gebruikers gegenereerd en niet geverifieerd.“ Wie in plaats daarvan de adresbalk controleerde, zag claude.ai staan en klikte erop. De pagina werd 7.100 keer bekeken voordat Anthropic deze verwijderde nadat Huntress dit had gemeld.

De downloadknop leidde uiteindelijk toch naar een andere site, eerst naar claude.ai.download-app[.]us en van daaruit naar downloading-api.it[.]com. De truc zit hem in de manier waarop het adres is opgebouwd. Hier is claude.ai slechts een subdomein dat voor het eigenlijke domein, download-app.us, staat, dat op 9 mei werd geregistreerd.

Een echt bestand met de code van iemand anders erin

Het bestand ClaudeDesktop.exe dat op de schijf terechtkomt, is helemaal geen Claude-software. Het is een authentiek, ondertekend onderdeel van JetBrains dat vatbaar is voor het sideloaden van DLL’s. DLL staat voor Dynamic Link Library, een programmabibliotheek die een toepassing laadt bij het opstarten. Bij een sideloading-aanval plaatst de aanvaller een gemanipuleerde kopie van die bibliotheek naast het onbeschadigde programma. Het programma laadt deze zonder vragen te stellen, en de kwaadaardige code wordt uitgevoerd onder de goede naam van het ondertekende bestand.

Aan het einde van de keten bevindt zich SectopRAT, een trojan voor toegang op afstand die al sinds 2019 in omloop is. Het steelt wachtwoorden, creditcardgegevens, bestanden, inloggegevens en cookies van browsers, FTP-inloggegevens, gegevens van Discord en Telegram, en Steam- en VPN-accounts. Om blijvende toegang te verkrijgen, plaatst de campagne ook een bestand met de naam DockerDesktop.exe en registreert dit als een geplande taak, waardoor de computer keer op keer opnieuw wordt geïnfecteerd.

De malware verzet zich tegen analyse. Het is gecomprimeerd en controleert de grafische kaart en het videogeheugen om virtuele machines op te sporen, de geïsoleerde testsystemen die beveiligingsonderzoekers gebruiken. Huntress geeft aan dat het voor zijn eigen analyse gebruik heeft gemaakt van Claude Opus 4.8, de voorganger van het onlangs uitgebrachte Claude Opus 5.

De truc is niet nieuw

Al in mei verspreidde een valse Claude-website via Google-advertenties een Windows-achterdeur. En in april gebruikte dezelfde dader volgens Huntress Docker Hub om een valse Docker Desktop-installatieprogramma te verspreiden dat was gebouwd op precies dezelfde gemanipuleerde bibliotheek. Dat verklaart ook waarom een bestand met de naam DockerDesktop.exe nog steeds in de bundel van deze maand zat.

Wat u hieruit kunt concluderen

De adresbalk zegt minder dan de meeste mensen denken. Zodra een platform door gebruikers gegenereerde inhoud onder zijn eigen domein aanbiedt – en dat doen claude.ai, Google Docs en GitHub allemaal – zegt de domeinnaam niets over wat u daadwerkelijk ontvangt. Software mag dus niet via een zoekadvertentie op uw computer terechtkomen. Anthropic biedt de Claude-apps aan via claude.com/download, en andere programma’s horen thuis op de eigen website van de maker, die u rechtstreeks intypt of als bladwijzer opslaat. Gesponsorde resultaten staan bovenaan omdat iemand ervoor heeft betaald, niet omdat ze door iemand zijn gecontroleerd.

Mocht er toch iets door de mazen glippen, dan is de tweede verdedigingslinie van cruciaal belang. Een infostealer zoals SectopRAT richt zich direct op de inloggegevens die in uw browser zijn opgeslagen. Wij hebben beschreven hoe u uw accounts kunt beveiligen, zodat een gestolen wachtwoord op zichzelf niet voldoende is.