偽のClaude Codeインストーラーがファイルレス.NETインフォスティーラーを拡散

Howler Cellの研究者によると、ハッカーたちはAI開発ツールへの関心を悪用し、Anthropicが提供するClaude Codeのインストール画面を偽装した高度なSEOポイズニングキャンペーンを展開しています。この攻撃では、完全なファイルレス方式の.NETインフォスティーラーが配布されています。

このキャンペーンは「Claude Code install」と検索するユーザーを標的とし、悪意のある偽ページを検索結果の上位に表示させています。

ソフトウェアの脆弱性を突く手法ではなく、ClickFixルアーを使ったソーシャルエンジニアリングに依存している点が特徴です。被害者はWindowsの「ファイル名を指定して実行」ダイアログを開き、事前に用意されたMSHTAコマンドを実行するよう誘導されます。この手法により手動での実行が引き起こされ、多くの自動セキュリティ対策が回避されます。

偽ページは正規のインストール手順を忠実に模倣しており、技術的な経験が浅い初めてのユーザーに対して特に効果を発揮します。Anthropic自体は侵害されておらず、公式のClaude Code配布チャンネルは引き続き安全です。

実行されると、攻撃はあらゆる検出層を回避するよう設計された6段階のチェーンとして展開されます。最初のMSHTAコマンドは、download.version-516[.]comからポリグロットペイロードを取得します。

このファイルは正規のMP3を装っており、有効な音声構造を持っていますが、内部にはHTAスクリプトのコンテンツが埋め込まれています。メディアプレーヤーは音声ファイルとして認識しますが、mshta.exeは隠されたスクリプトを解析・実行します。これにより、ファイルタイプの検査やサンドボックス解析が効果的に回避されます。

HTAは次に多段階のPowerShellローダーを起動します。スケジュールタスクによって持続性を確立し、32ビットのPowerShellプロセスを呼び出します。これは64ビットの活動を中心に監視する環境での可視性を低下させるための意図的な選択です。

このスクリプトはメモリ内のAMSI保護を無効化し、RC4を使用して文字列を復号し、コンピュータ名とユーザー名のMD5ハッシュを生成することで被害者のシステムを識別します。

Howler CellはClaude Codeのインストールガイドを検索するユーザーを標的にした、活発なSEOポイズニングキャンペーンを確認しています。

この識別情報はoakenfjrod[.]ru配下の一意なサブドメインの構築に使用され、各被害者が個別の第2段階ペイロードを受け取る仕組みになっています。

偽のClaude Codeインストーラー

被害者ごとのインフラを使用することで、従来のIOCベースの検出が大幅に弱体化します。URLはインシデント間で共有・再利用することができないためです。

取得されるペイロードは6.7MBのMP3/HTAポリグロットです。これは2つのフォーマットの解析規則を同時に満たす単一ファイルです。有効なID3v2.4タグ、埋め込みJPEGカバーアート、そして最初の約4.7MBには再生可能なMPEGオーディオフレームが含まれています。

第3段階のペイロードは、17MBを超える異常に大きく、多重に難読化されたPowerShellスクリプトです。そのサイズと多層エンコードは意図的なものであり、解析ツールを圧倒しサンドボックス環境を回避するよう設計されています。

このスクリプトはすべてメモリ上で実行され、最終ペイロードが明らかになるまでBase64、RC4、XORを含む複数の復号レイヤーを経由します。

最終段階では、.NET AssemblyのLoadメソッドを使用してメモリに直接ロードされる、リフレクティブな.NETインフォスティーラーが展開されます。

ディスクへのファイル書き込みは一切なく、新たなプロセスも生成されず、実行は既存のPowerShellプロセス内で完結します。この手法により、従来のフォレンジックアーティファクトの多くが排除されます。

インフォスティーラーは185[.]177[.]239[.]255にあるコマンド＆コントロールインフラとHTTPS経由で暗号化通信を確立し、認証情報の収集とデータの外部送信を可能にします。

観測された動作にはブラウザの認証情報ストアへのアクセスが含まれており、保存されたログイン情報の窃取に焦点を当てていることが分かります。

このキャンペーンは、ファイルレス実行、AMSIバイパス、ポリグロットペイロード、動的インフラを組み合わせた多層的な回避戦略を示しています。

各段階は、静的ファイル検査からエンドポイントのテレメトリ、ネットワークベースの検出に至るまで、特定の防御制御を突破するよう設計されています。

特筆すべきは、この攻撃の有効性が新たな脆弱性の悪用ではなく、タイミングとターゲティングによるものである点です。Claude Codeの普及が進むにつれ、脅威アクターは検索エンジンの操作を利用し、正規のオンボーディング情報が期待される場所に悪意のあるコンテンツを配置しています。

Howler Cellは、download.version-516[.]comおよびoakenfjrod[.]ru、ならびに関連するコマンド＆コントロールエンドポイントを含むキャンペーンのインフラを継続的に追跡しています。

防御担当者には、mshta.exeのネットワーク活動、異常な32ビットPowerShellの実行、および不審なワイルドカードサブドメインへのDNSクエリを監視することが推奨されます。これらは、高度な回避手法を用いた攻撃チェーンにおいて最も信頼性の高い検出機会として挙げられます。

侵害の痕跡（IoC）

注意： IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にデファング処理（例：[.]）されています。MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ、元の形式に戻してご使用ください。