Хакеры разместили поддельный установщик приложения Claude прямо на официальном домене Anthropic

Киберпреступники опубликовали поддельные инструкции по установке Claude на официальном домене Anthropic и продвигали их через рекламу Google. Пользователям предлагали не скачивать файл, а вставить команду в Terminal на Mac или в PowerShell на Windows, после чего на устройство попадал похититель данных Atomic macOS Stealer (AMOS) либо вредоносная программа с функциями удалённого управления. Обе кампании обнаружили исследователи Gen Digital и опубликовали отчёт 26 октября 2026 года.

Преступникам не пришлось регистрировать домен-двойник или взламывать серверы Anthropic. Они воспользовались штатными функциями платформы, Shared Chats для публикации переписок и Artifacts для создания документов. Страницы с руководствами для macOS и Windows использовали фирменное оформление и напоминали инструкции от разработчика, хотя компания их не публиковала. Предупреждение о пользовательском происхождении материала присутствовало, но человек, который ищет кнопку загрузки, легко пропускает мелкий текст. Вредоносная цепочка опиралась на три публичных инструмента:

• публичные переписки Shared Chats, где размещали команды для копирования;
• пользовательские документы Artifacts, оформленные как руководство по установке;
• поисковая реклама Google Ads, на которую указывают параметры gclid и gad_campaignid в ссылках.

Реклама приводила на поддельные страницы людей, которые искали приложение для компьютера, например по запросу «скачать Claude для Mac». Спонсорская позиция над обычной выдачей воспринимается как признак доверия, хотя проверка объявления не гарантирует безопасность конечной страницы, а пользователь, проверивший адрес, видел настоящий домен и HTTPS.

В основе обеих кампаний лежит техника ClickFix, при которой жертва сама запускает заражение. На Mac человеку предлагали открыть Terminal, скопировать команду кнопкой на странице, вставить её и нажать Enter. Команда была обфусцирована, поэтому вместо понятного адреса сервера пользователь видел набор символов, а запущенная цепочка загружала AMOS. Claude официально недоступен в России, поэтому российские пользователи нередко ищут неофициальные способы установки, и инструкция с обещанием рабочего клиента находит у них отклик.

В зависимости от версии AMOS способен искать на заражённом компьютере следующие данные:

• сохранённые пароли и данные браузеров;
• активные сеансы авторизации;
• сведения о криптовалютных кошельках;
• файлы с конфиденциальной информацией.

Кража сеанса опасна тем, что пароль преступнику уже не нужен, достаточно восстановить авторизованную сессию. Исследователи нашли и подмену приложений Ledger и Trezor модифицированными копиями, которые требуют ввести фразу восстановления кошелька. С этой фразой преступник получает контроль над средствами даже при аппаратном хранении, а для российских держателей криптовалюты это прямая угроза накоплениям.

В кампании против Windows на странице «Install Claude on Windows» посетителям предлагали выполнить последовательность из трёх действий:

• нажать Win + R, чтобы открыть окно «Выполнить»;
• нажать Ctrl + V, чтобы вставить скопированную команду;
• нажать Enter, чтобы запустить её в PowerShell.

Пользователю показывали ложные сообщения о проверке, а скрипт обращался к GitHub и домену github.io за следующими компонентами. Цепочка завершалась зашифрованным исполняемым файлом на .NET, который прятался внутри обычного процесса Windows, проверял наличие антивирусов, снимал скриншоты, принимал команды оператора и искал следы кошельков Electrum, Exodus, Ethereum, Bitcoin и Ledger. Это другая вредоносная программа, поэтому перед нами два варианта атаки с общим способом привлечения жертв, а не один вирус на двух системах.

В апреле AhnLab сообщала о поддельных страницах загрузки Claude в Google Ads, в мае BleepingComputer описал вредоносные команды в общедоступных переписках Claude для macOS, а в октябре Push Security обнаружила цепочку перенаправлений через рекламу Google и Bing. Эти кампании необязательно связаны, но схема повторяется. Преступникам не нужны уязвимость в самом Claude или эксплойт для браузера, достаточно убедить человека, что опасная команда служит обычной частью установки приложения.

HTTPS защищает соединение, но не подтверждает добросовестность опубликованного материала, а настоящий домен указывает на площадку, но не на автора страницы. Страница с командами для терминала может оказаться технической документацией или инструкцией по установке стилера, и модерации приходится отличать одно от другого, не блокируя законные публикации. Риск заражения снижают четыре действия пользователя:

• скачивать приложение только на claude.com/download, открывая сайт вручную или через сохранённую закладку;
• не запускать в Terminal и PowerShell команды с незнакомых страниц, даже если те размещены на известном домене;
• не вводить фразу восстановления кошелька в приложение, которое запросило её неожиданно;
• при запуске сомнительной команды менять пароли с чистого устройства, завершать активные сеансы и переводить средства на новый кошелёк.

Эксперты CISOCLUB отметили, что главная проблема описанных кампаний заключается не в уязвимости программного кода, а в доверии к знакомому домену. Пользователи привыкли проверять адрес сайта и значок HTTPS, и преступники научились обращать эти проверки себе на пользу.

Компаниям с пользовательскими публикациями стоит ограничивать продвижение страниц с исполняемыми командами и быстро отзывать эти материалы после жалоб. Корпоративным службам стоит заранее запретить запуск неизвестных скриптов в PowerShell и Terminal на рабочих устройствах и разобрать с сотрудниками принцип ClickFix. Заражение рабочего ноутбука с сохранёнными сессиями облачных сервисов способно перерасти в доступ к корпоративным системам, и здесь решает скорость реакции.

Ранее сообщалось, что с 26 октября сотрудники Правительственной канцелярии Швеции лишились доступа к ChatGPT и Claude на служебных компьютерах. Вместо них чиновники должны использовать одобренные инструменты, в первую очередь Microsoft Copilot. Ограничения связаны с опасениями властей по поводу передачи конфиденциальной информации сторонним компаниям при отсутствии достаточных договорных гарантий и контроля над обработкой данных. При этом ограниченная группа сотрудников сохранит возможность работать с обеими моделями через внутреннюю платформу канцелярии.