Fałszywe strony Claude i ChatGPT instalują malware przez PowerShell i mshta.exe

ANY.RUN powiązał 1258 publicznych analiz ze swojej piaskownicy z kampaniami podszywającymi się pod usługi AI: Claude, ChatGPT, GitHub Copilot i Gemini. Analizy pochodzą z okresu od kwietnia do października 2026 roku. Przynęty pojawiają się w sponsorowanych wynikach wyszukiwania, na legalnych usługach hostingowych, we współdzielonych rozmowach z AI i na fałszywych stronach pobierania. W jednej kampanii strona udająca oficjalną stronę pobierania Claude po kliknięciu przycisku dla Windows kopiuje do schowka komendę i każe uruchomić ją w PowerShell. Zamiast instalować aplikację, komenda uruchamia mshta.exe, pobiera złośliwy plik HTA i zakodowany łańcuch poleceń PowerShell.

Kogo dotyczy

Firmy, których pracownicy pobierają narzędzia AI. Celem kampanii jest kradzież sesji przeglądarki, przejęcie kont firmowych i wyłudzenie danych logowania przez fałszywe strony uwierzytelniania. Firmy z USA stanowiły 16% celów z przypisanym krajem. Pracownik sam uruchamia proces, a atak korzysta z legalnych narzędzi Windows, co utrudnia wykrycie.