دانلود جعلی Claude در دامنه واقعی claude.ai بدافزار پخش می‌کند

هکرها با خرید تبلیغات گوگل، صفحه‌های دانلود جعلی Claude را تبلیغ می‌کنند؛ صفحه‌هایی که حتی روی دامنه واقعی claude.ai میزبانی شده‌اند. این حمله برای نفوذ به دستگاه شما به فایل نصب معمولی متکی نیست و تلاش می‌کند خودتان یک فرمان مخرب را در ترمینال مک یا ویندوز اجرا کنید.

#نکات کلیدی

• صفحه‌های جعلی از مسیرهای اشتراک‌گذاری و Artifact در دامنه واقعی claude.ai استفاده می‌کنند.
• مهاجمان برای هدایت کاربران به این صفحه‌ها تبلیغات گوگل خریده‌اند.
• نسخه مک بدافزار Atomic macOS Stealer را اجرا می‌کند.
• نسخه ویندوز از فرمان PowerShell و یک محموله رمزگذاری‌شده دات‌نت استفاده می‌کند.
• صفحه رسمی دریافت نسخه دسکتاپ Claude در claude.com/download قرار دارد.

#دامنه واقعی، محتوای جعلی

طبق گزارش حمله به کاربران Claude، مهاجمان بدون نفوذ به زیرساخت Anthropic از قابلیت‌های Shared Chats و Artifacts عمومی استفاده کرده‌اند. آن‌ها محتوای مخرب را در مسیرهای claude.ai/share/ و claude.ai/artifact/ منتشر می‌کنند تا صفحه‌هایی با لوگو، چیدمان و پیام دانلود مشابه Claude بسازند.

Claude این محتواها را به‌عنوان محتوای تأییدنشده کاربران علامت‌گذاری می‌کند، اما این هشدار در کنار ظاهر متقاعدکننده صفحه ممکن است به‌اندازه کافی جلب توجه نکند. نکته مهم برای شما این است که قرار داشتن یک صفحه روی دامنه معتبر، لزوماً به معنای رسمی بودن محتوای داخل آن نیست.

پژوهشگران در پیوندهای بررسی‌شده پارامترهای تبلیغاتی گوگل، از جمله gclid و gad_campaignid، پیدا کرده‌اند. چند Artifact نیز به دو کارزار تبلیغاتی مرتبط بوده‌اند؛ موضوعی که از یک عملیات توزیع چرخشی حکایت دارد، نه فقط یک صفحه مخرب منفرد. یکی دیگر از طعمه‌ها نیز گفت‌وگویی اشتراکی با عنوان «Claude Code روی مک» بوده است.

#آلودگی در macOS چگونه انجام می‌شود؟

صفحه جعلی مک به‌جای ارائه یک نصب‌کننده، گزینه‌ای با مضمون «نصب سریع از طریق ترمینال» نمایش می‌دهد. دکمه کپی، فرمانی مبهم‌سازی‌شده را در اختیار کاربر می‌گذارد تا آن را در ترمینال اجرا کند؛ روشی که با نام ClickFix شناخته می‌شود و اجرای حمله را به خود قربانی می‌سپارد.

پس از اجرای فرمان، یک بارگذار اولیه اسکریپت دیگری را دریافت و باز می‌کند. این زنجیره در نهایت محموله مبتنی بر AppleScript موسوم به Atomic macOS Stealer یا AMOS را دانلود و اجرا می‌کند.

بدافزار ابتدا دسترسی کامل به دیسک را بررسی می‌کند. اگر این مجوز فعال نباشد، یک درخواست دسترسی گمراه‌کننده نمایش می‌دهد و فایل راه‌اندازی پوسته را تغییر می‌دهد تا اجرای آن با باز شدن دوباره ترمینال ادامه پیدا کند. پس از دریافت مجوز نیز یک پنجره جعلی رمز عبور macOS را تا زمان وارد شدن رمز معتبر نمایش می‌دهد.

اطلاعات هدف این بدافزار شامل موارد زیر است:

• رمزهای ذخیره‌شده مرورگر و کوکی‌های نشست
• داده‌های Keychain و اسناد حساس
• کیف‌پول‌های رمزارزی
• رمز ورود معتبر macOS

داده‌های جمع‌آوری‌شده در یک فایل ZIP فشرده و به زیرساخت مهاجمان ارسال می‌شوند. اگر Ledger Live،‏ Ledger Wallet یا Trezor Suite روی دستگاه نصب باشد، بدافزار می‌تواند برنامه اصلی را با نسخه‌ای تروجان‌شده جایگزین کند و با درخواست‌های جعلی بازیابی یا اعتبارسنجی، عبارت بازیابی کیف‌پول را بگیرد.

#کارزار ویندوز و راه‌های محافظت

نسخه ویندوز از یک Claude Artifact دیگر استفاده می‌کند و از قربانی می‌خواهد کلیدهای Win+R،‏ Ctrl+V و Enter را بزند. فرمان PowerShell کپی‌شده، هم‌زمان با نمایش پیام‌های پیشرفت اطمینان‌بخش، مرحله بعدی حمله را از یک صفحه github.io دریافت می‌کند؛ محتوایی که شامل یک محموله رمزگذاری‌شده و بسته‌بندی‌شده دات‌نت است.

فایل اجرایی وارد یک فرایند معتبر ویندوز می‌شود، آنتی‌ویروس‌های نصب‌شده را بررسی می‌کند، اسکرین‌شات می‌گیرد، عنوان پنجره‌های فعال را می‌خواند و ارتباط تحت کنترل مهاجم را حفظ می‌کند. این نسخه همچنین به‌دنبال کیف‌پول‌های دسکتاپ و افزونه‌های کیف‌پول مرورگر می‌گردد و رفتارش بیشتر به ابزار دسترسی از راه دور شباهت دارد تا یک سارق اطلاعات تک‌منظوره.

برای کاهش خطر، Claude را فقط از صفحه رسمی دانلود آن دریافت کنید و فرمان‌هایی را که صفحه‌های تبلیغاتی، گفت‌وگوهای اشتراکی یا Artifacts برای نصب پیشنهاد می‌کنند اجرا نکنید. اگر چنین فرمانی را اجرا کرده‌اید، دستگاه را آلوده در نظر بگیرید، نشست‌های فعال را لغو کنید و رمزها را از یک دستگاه پاک تغییر دهید. عبارت بازیابی کیف‌پولی که احتمال افشای آن وجود دارد نیز باید فوراً جایگزین شود.

#جمع‌بندی

این حمله یادآوری می‌کند که حتی یک دامنه واقعی هم می‌تواند میزبان محتوای ساخته‌شده توسط مهاجمان باشد. اگر صفحه‌ای از شما خواست برای نصب Claude فرمانی را کپی و در ترمینال اجرا کنید، به ظاهر معتبر آن اعتماد نکنید و مستقیماً سراغ صفحه رسمی دانلود بروید.