Páginas falsas de descarga de Claude alojadas en claude.ai distribuyen malware mediante Google Ads
Una campaña de malvertising está volviendo contra los usuarios una de las señales de confianza más sólidas de la web. En lugar de registrar un dominio parecido, sus operadores crearon páginas falsas de «descarga de Claude» directamente en claude.ai, el dominio legítimo de Anthropic, y pagaron anuncios de Google para situarlas en lo alto de los resultados de búsqueda. Quien siguió los pasos de «instalación» acabó ejecutando un infostealer.
Qué ocurrió
Claude permite publicar chats compartidos (Shared Chats) y artefactos públicos (Artifacts). Ambas son funciones normales de compartición y ambas se muestran bajo el dominio real claude.ai, con certificado válido y la imagen de marca de Anthropic. Los atacantes usaron precisamente esas funciones para alojar páginas diseñadas como portales oficiales de descarga, con el logotipo de Claude, un botón «Download for macOS» y una sección «Get started».
Detrás del botón no había ningún instalador. La página mostraba una caja «Install on macOS» con cuatro pasos: abrir Terminal, pulsar Copy, pegar y presionar Enter. El comando copiado estaba ofuscado, de modo que la víctima veía una cadena ininteligible en lugar de una dirección web sospechosa. Es la técnica ClickFix: el propio usuario ejecuta el comando malicioso, lo que esquiva muchos de los controles que bloquearían un ejecutable descargado.
Los enlaces incluían parámetros de seguimiento de Google Ads, lo que confirma que las páginas se promocionaron mediante búsqueda de pago. Varios artefactos que rotaban periódicamente estaban vinculados a dos campañas publicitarias distintas, así que se trata de una operación financiada y continua, no de un caso aislado.
Claude sí muestra una franja discreta que indica que el contenido es generado por usuarios y no está verificado. Todo lo demás en pantalla parecía auténtico.
La cadena en macOS: AMOS y suplantación de carteras
En macOS, el comando instala Atomic macOS Stealer (AMOS), un infostealer basado en AppleScript. Una vez en ejecución:
- Muestra un aviso falso de «Full Disk Access required» y se relanza hasta obtener el permiso.
- Presenta un cuadro de contraseña de macOS falso que reaparece hasta que la víctima introduce su contraseña real.
- Recopila contraseñas guardadas, credenciales y sesiones del navegador, datos del Llavero (Keychain), notas y documentos (entre ellos archivos .pdf, .docx, .key, .seed, .pem, .wallet y .ovpn) y los sube al servidor del operador.
- Si Ledger Live, Ledger Wallet o Trezor Suite está instalado, lo sustituye en silencio por una copia troyanizada. La siguiente vez que la víctima abre la cartera, la aplicación falsa pide la frase de recuperación y la envía al atacante.
La cadena en Windows
Un artefacto paralelo titulado «Install Claude on Windows» indicaba pulsar Win + R, luego Ctrl + V y después Enter. El comando de PowerShell pegado era malicioso desde el primer carácter y mostraba mensajes falsos de «verificación» mientras se ejecutaba. Descargaba una segunda etapa desde GitHub y una página github.io, que entregaba una carga .NET cifrada.
Ese componente final se oculta dentro de un proceso legítimo de Windows, comprueba si hay antivirus, captura pantallas, mantiene una conexión abierta para que el operador envíe más órdenes y busca datos de carteras Electrum, Exodus, Ethereum, Bitcoin y Ledger.
Por qué importa
La mayoría de los consejos contra el phishing se apoyan en pequeñas pistas: un dominio mal escrito, un candado ausente, una marca desconocida. Esta campaña las eliminó todas. El dominio es real, el certificado es real y el logotipo es real. La única señal honesta era una pequeña etiqueta de «contenido generado por usuarios» que casi nadie lee.
También muestra con qué rapidez los atacantes siguen la demanda. Los asistentes de IA se instalan a gran escala en portátiles corporativos, a menudo por empleados que buscan «download Claude» sin pasar por TI. Un resultado patrocinado en lo alto de esa búsqueda es una puerta de entrada barata y eficaz, tanto a carteras cripto personales como a credenciales corporativas.
Conviene ser precisos sobre qué se vio comprometido y qué no. La infraestructura de Anthropic no fue vulnerada. El abuso está en cómo el contenido compartible públicamente en un dominio de confianza puede disfrazarse de algo oficial, y el mismo patrón vale para cualquier plataforma que aloje páginas generadas por usuarios.
Indicadores a vigilar
| Tipo | Indicador | Notas |
|---|---|---|
| Ruta URL | claude[.]ai/share/… | Ruta de Shared Chat usada para entregar el señuelo falso «Claude Code on Mac» |
| Ruta URL | claude[.]ai/artifact/… | Ruta de Artifact público que alojaba las páginas «Download Claude» e «Install Claude on Windows» |
| Parámetros URL | gclid, gad_campaignid | Parámetros de seguimiento de Google Ads presentes en los enlaces maliciosos |
| Host intermedio | github.io | Host de apariencia confiable para la segunda etapa en Windows |
| Señuelo | Comando en Terminal (macOS); Win + R, Ctrl + V, Enter (Windows) | Secuencias ClickFix |
| Malware | Atomic macOS Stealer (AMOS) | Infostealer para macOS basado en AppleScript |
| Malware | Ledger Live, Ledger Wallet y Trezor Suite troyanizados | Aplicaciones de cartera falsas que piden la frase de recuperación |
| Malware | Ejecutable .NET ofuscado | Carga final en Windows con comportamiento de acceso remoto |
Los indicadores están desactivados a propósito. Reactívelos solo dentro de herramientas controladas, como su SIEM o su plataforma de inteligencia de amenazas.
Qué hacer
- Nunca pegues en Terminal, PowerShell o el cuadro Ejecutar un comando que no hayas escrito tú, sea cual sea el sitio que lo pida.
- Llega a las páginas de descarga escribiendo la dirección del proveedor o usando un marcador, no a través de resultados patrocinados. Las aplicaciones de escritorio legítimas de Anthropic se distribuyen desde su página oficial de descarga, no desde un chat compartido.
- Trata cualquier etiqueta de «generado por usuarios» o «no verificado» como una señal de alto, sobre todo si la página te pide instalar algo.
- Nunca introduzcas la frase de recuperación de tu cartera en un software que la pida de forma inesperada. Las aplicaciones legítimas no la solicitan en el uso cotidiano.
- Si ya ejecutaste uno de estos comandos, asume que el equipo está totalmente comprometido. Desde un dispositivo limpio, cambia las contraseñas importantes, revoca las sesiones activas, activa la autenticación multifactor y traslada los fondos cripto a una cartera creada con una frase de recuperación completamente nueva.
- Para organizaciones: bloqueen los patrones ClickFix de Ejecutar y Terminal con reglas de EDR, restrinjan PowerShell para usuarios estándar y busquen en los registros del proxy URL de claude.ai de tipo share o artifact con parámetros gclid o gad_campaignid.
Los registros de infostealers como los que genera AMOS suelen aparecer en mercados criminales pocos días después de la infección, y las credenciales corporativas que contienen son a menudo lo que desencadena la siguiente brecha. El servicio de monitorización de la Deep/Dark Web de 4tify vigila esos canales en busca de sus dominios y cuentas de empleados, de modo que una sesión o contraseña robada pueda rotarse antes de que se use en su contra.