Páginas falsas de download do Claude alojadas em claude.ai distribuem malware através do Google Ads
Uma campanha de malvertising está a virar contra os utilizadores um dos sinais de confiança mais sólidos da web. Em vez de registar um domínio parecido, os operadores criaram páginas falsas de «download do Claude» diretamente em claude.ai, o domínio legítimo da Anthropic, e pagaram anúncios Google para as colocar no topo dos resultados de pesquisa. Quem seguiu os passos de «instalação» acabou a executar um infostealer.
O que aconteceu
O Claude permite publicar conversas partilhadas (Shared Chats) e artefactos públicos (Artifacts). Ambas são funcionalidades normais de partilha e ambas são apresentadas sob o domínio real claude.ai, com certificado válido e a identidade visual da Anthropic. Os atacantes usaram precisamente essas funcionalidades para alojar páginas desenhadas como portais oficiais de download, com o logótipo do Claude, um botão «Download for macOS» e uma secção «Get started».
Por trás do botão não havia instalador nenhum. A página mostrava uma caixa «Install on macOS» com quatro passos: abrir o Terminal, carregar em Copy, colar e premir Enter. O comando copiado estava ofuscado, pelo que a vítima via uma sequência de caracteres sem sentido em vez de um endereço web suspeito. É a técnica ClickFix: o próprio utilizador executa o comando malicioso, contornando muitos dos controlos que bloqueariam um executável descarregado.
As ligações incluíam parâmetros de rastreio do Google Ads, o que confirma que as páginas foram promovidas através de pesquisa paga. Vários artefactos em rotação estavam associados a duas campanhas publicitárias distintas, pelo que se trata de uma operação financiada e contínua, não de um caso isolado.
O Claude mostra, de facto, uma faixa discreta a indicar que o conteúdo é gerado por utilizadores e não verificado. Tudo o resto no ecrã parecia autêntico.
A cadeia em macOS: AMOS e troca de carteiras
Em macOS, o comando instala o Atomic macOS Stealer (AMOS), um infostealer baseado em AppleScript. Depois de arrancar:
- Mostra um aviso falso de «Full Disk Access required» e relança-se até obter a permissão.
- Apresenta uma caixa de palavra-passe do macOS falsa que reaparece até a vítima introduzir a palavra-passe verdadeira.
- Recolhe palavras-passe guardadas, credenciais e sessões do browser, dados do Porta-chaves (Keychain), notas e documentos (incluindo ficheiros .pdf, .docx, .key, .seed, .pem, .wallet e .ovpn) e envia-os para o servidor do operador.
- Se o Ledger Live, o Ledger Wallet ou o Trezor Suite estiver instalado, substitui-o silenciosamente por uma cópia trojanizada. Na vez seguinte em que a vítima abre a carteira, a aplicação falsa pede a frase de recuperação e envia-a ao atacante.
A cadeia em Windows
Um artefacto paralelo intitulado «Install Claude on Windows» mandava premir Win + R, depois Ctrl + V e por fim Enter. O comando PowerShell colado era malicioso desde o primeiro carácter e mostrava mensagens falsas de «verificação» enquanto corria. Descarregava uma segunda fase a partir do GitHub e de uma página github.io, que entregava um payload .NET cifrado.
Esse componente final esconde-se dentro de um processo legítimo do Windows, verifica a presença de antivírus, captura o ecrã, mantém uma ligação aberta para que o operador envie mais comandos e procura dados das carteiras Electrum, Exodus, Ethereum, Bitcoin e Ledger.
Porque é que isto importa
A maioria dos conselhos contra phishing assenta em pequenos sinais: um domínio mal escrito, um cadeado em falta, uma marca desconhecida. Esta campanha eliminou-os todos. O domínio é real, o certificado é real e o logótipo é real. O único sinal honesto era uma pequena etiqueta de «conteúdo gerado por utilizadores» que quase ninguém lê.
Mostra também a rapidez com que os atacantes seguem a procura. Os assistentes de IA estão a ser instalados em massa em portáteis empresariais, muitas vezes por colaboradores que pesquisam «download Claude» sem passar pela equipa de TI. Um resultado patrocinado no topo dessa pesquisa é uma porta de entrada barata e eficaz, tanto para carteiras cripto pessoais como para credenciais empresariais.
Convém ser preciso sobre o que foi e não foi comprometido. A infraestrutura da Anthropic não foi violada. O abuso está na forma como conteúdo publicamente partilhável num domínio de confiança pode ser disfarçado de algo oficial, e o mesmo padrão aplica-se a qualquer plataforma que aloje páginas geradas por utilizadores.
Indicadores a vigiar
| Tipo | Indicador | Notas |
|---|---|---|
| Caminho URL | claude[.]ai/share/… | Rota de Shared Chat usada para entregar o isco falso «Claude Code on Mac» |
| Caminho URL | claude[.]ai/artifact/… | Rota de Artifact público que alojava as páginas «Download Claude» e «Install Claude on Windows» |
| Parâmetros URL | gclid, gad_campaignid | Parâmetros de rastreio do Google Ads presentes nas ligações maliciosas |
| Host intermédio | github.io | Host de aspeto fidedigno para a segunda fase em Windows |
| Isco | Comando no Terminal (macOS); Win + R, Ctrl + V, Enter (Windows) | Sequências ClickFix |
| Malware | Atomic macOS Stealer (AMOS) | Infostealer para macOS baseado em AppleScript |
| Malware | Ledger Live, Ledger Wallet e Trezor Suite trojanizados | Aplicações de carteira falsas que pedem a frase de recuperação |
| Malware | Executável .NET ofuscado | Payload final em Windows com comportamento de acesso remoto |
Os indicadores estão propositadamente desativados. Reative-os apenas em ferramentas controladas, como o seu SIEM ou a sua plataforma de threat intelligence.
O que fazer
- Nunca cole no Terminal, no PowerShell ou na janela Executar um comando que não tenha escrito, seja qual for o site que o pede.
- Chegue às páginas de download escrevendo o endereço do fornecedor ou usando um marcador, não através de resultados patrocinados. As aplicações de desktop legítimas da Anthropic são distribuídas a partir da sua página oficial de download, não de uma conversa partilhada.
- Trate qualquer etiqueta de «gerado por utilizadores» ou «não verificado» como um sinal de paragem, sobretudo quando a página pede para instalar algo.
- Nunca introduza a frase de recuperação da carteira em software que a peça de forma inesperada. As aplicações legítimas não a pedem no uso quotidiano.
- Se já executou um destes comandos, assuma que o dispositivo está totalmente comprometido. A partir de um equipamento limpo, altere as palavras-passe importantes, revogue as sessões ativas, ative a autenticação multifator e transfira os fundos cripto para uma carteira criada com uma frase de recuperação totalmente nova.
- Para organizações: bloqueiem os padrões ClickFix da janela Executar e do Terminal com regras de EDR, restrinjam o PowerShell para utilizadores comuns e procurem nos registos do proxy URLs de claude.ai do tipo share ou artifact com parâmetros gclid ou gad_campaignid.
Os registos de infostealers como os que o AMOS produz costumam surgir em mercados criminosos poucos dias após a infeção, e as credenciais empresariais que contêm são muitas vezes o que desencadeia a violação seguinte. O serviço de monitorização da Deep/Dark Web da 4tify vigia esses canais em busca dos seus domínios e contas de colaboradores, para que uma sessão ou palavra-passe roubada possa ser rodada antes de ser usada contra si.