Claudeの急速な成長—月間ほぼ2億9000万回のウェブアクセス—は攻撃者にとって魅力的なターゲットになっており、このキャンペーンは偽のサイトに引っかかるのがいかに簡単かを示しています。
私たちはAnthropicのClaudeになりすましてPlugXマルウェアを配信する偽のウェブサイトを発見しました。このドメインはClaudeの公式サイトを模倣しており、ZIPアーカイブをダウンロードした訪問者は、インストールされ、期待どおりに動作するClaudeのコピーを受け取ります。しかし、背後では、攻撃者にシステムへのリモートアクセスを与えるPlugXマルウェアチェーンをデプロイしています。
キャンペーンの詳細な分析
偽のサイトは、Claudeの「Pro」バージョンの公式ダウンロードページとして表示され、訪問者にClaude-Pro-windows-x64.zipというファイルを提供しています。パッシブDNSレコードによると、このドメインはアクティブなメール送信インフラストラクチャを備えています。MXレコードは2つの商用バルクメールプラットフォーム—Kingmailer（2026年3月28日に最後に確認）とCampaignLark（2026年4月5日から確認）—をポイントしています。プロバイダー間の切り替えは、オペレーターが積極的に送信能力を維持・ローテーションしていることを示唆しています。
ZIPには、C:\Program Files (x86)\Anthropic\Claude\Cluade\にインストールするMSIインストーラーが含まれており、これは正規のAnthropicインストレーションを模倣するように設計されたパスで、実際のElectronベースのアプリケーション（Claudeなど）が使用する更新フレームワークであるSquirrelへの参照が完備されています。「Cluade」という綴り間違いは明らかな危険信号です。
インストーラーは、SquirrelTempディレクトリ内のClaude.vbsをポイントするClaude AI.lnkというショートカットをデスクトップに配置します。被害者がショートカットをクリックすると、VBScriptドロッパーが起動され、C:\Program Files (x86)\Anthropic\Claude\Cluade\claude.exeに2つディレクトリ上にあるclaude.exeを探し出し、実際のアプリケーションをフォアグラウンドで実行します。
その後、ドロッパーはデスクトップにClaude.lnkという新しいショートカットを作成し、claude.exeに直接ポイントします。これにより、被害者は今後、機能するショートカットを持つことになり、元のClaude AI.lnkはVBScriptが自身を削除した後、デッドリンクになります。
舞台裏で何が起こっているのか
正規のアプリケーションがフォアグラウンドで実行される一方で、VBScriptは静かにSquirrelTempディレクトリから3つのファイルをWindowsスタートアップフォルダ（C:\Users\<USER>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\）にコピーします。
ドロッパースクリプトの静的分析では、これらはNOVUpdate.exeと呼ばれる実行可能ファイル、avk.dllという名前のDLL、およびNOVUpdate.exe.datという暗号化されたデータファイルとして識別されます。その後、スクリプトはNOVUpdate.exeを非表示ウィンドウ（ウィンドウスタイル0）で起動するため、画面には何も表示されません。
これはDLLサイドローディング攻撃の教科書的な例であり、MITREによってT1574.002としてカタログ化されている手法です。NOVUpdate.exeは正規に署名されたG DATAアンチウイルスアップデーターです。実行されると、自身のディレクトリからavk.dllという名前のライブラリをロードしようとします。通常、これは正規のG DATAコンポーネントですが、ここでは攻撃者が悪意のあるバージョンに置き換えています。このような署名されたサイドローディングホストは、親の実行可能ファイルがエンドポイントセキュリティツールに無害に見える可能性があるため、検出を複雑にする可能性があります。
このような同じGDataサイドローディングトリオを文書化したLab52レポートに基づいて、悪意のあるavk.dllは付属の.datファイルに保存されているペイロードを読み取り、復号化することが予想されます。このパターン—署名された実行可能ファイル、トロイの木馬化されたDLL、および暗号化されたデータファイルが3つのコンポーネントサイドローディングトリオを形成—は、少なくとも2008年以来スパイ活動キャンペーンで追跡されているリモートアクセストロイの木馬PlugXマルウェアファミリーの特徴です。
サンドボックステレメトリ：数秒以内のC2コールバック
サンドボックス環境での動作分析により、実行チェーンの主要部分が確認されました。WScript.exeはNOVUpdate.exeとavk.dllをStartupフォルダにドロップしているのが観察されました。わずか22秒後、NOVUpdate.exeは8.217.190.58ポート443への最初のアウトバウンドTCP接続を確立していました。この接続は観察ウィンドウ中に複数回繰り返されました。
IPアドレス8.217.190.58はAlibaba Cloudに関連付けられたアドレス範囲（8.217.x.x）に該当します。クラウドホスティングプロバイダーは脅威アクターにてコマンド・アンド・コントロールインフラストラクチャに日常的に悪用されています。ホスティングプロバイダーだけではIPの悪意のある所有を示していません。
サンドボックスはまた、NOVUpdate.exeがレジストリキーHKLM\System\CurrentControlSet\Services\Tcpip\Parametersを変更するのを記録しました。これはTCP/IPネットワーク構成に関連するパスです。
自らの跡を消す
ドロッパースクリプトの静的分析により、追加のフォレンジック対策が明らかになります。ペイロードファイルをデプロイした後、VBScriptは~del.vbs.batという小さなバッチファイルを書き込み、2秒待機してから、元のVBScriptとバッチファイル自体の両方を削除します。これは、ユーザーまたはアナリストが探しに行く時点までに、ドロッパーがディスクから消えていることを意味しています。残存するアーティファクトは、Startupフォルダ内のサイドローディングファイルと、実行中のNOVUpdate.exeプロセスだけです。スクリプトはまた、悪意のあるペイロードセクション全体をOn Error Resume Nextステートメントでラップして、デプロイメント内の失敗がサイレントにエラーを飲み込み、被害者に警告する可能性のある目に見えるエラーダイアログが生成されないようにします。
既知のプレイブック、新しい誘い文句
このサイドローディング技術—正規のG DATA実行可能ファイルと共にG DATAのavk.dllを悪用し、XOR暗号化されたペイロードファイルを使用—は2026年2月にLab52によって公開されたレポート「PlugX Meeting Invitation via MSBuild and GDATA」で文書化されています。そのキャンペーンでは、フィッシングメールは偽のミーティング招待を使用してほぼ同一の3ファイルサイドローディングパッケージを配信していました。Lab52サンプルはAVKTray.datを暗号化されたペイロードファイル名として使用しました。このキャンペーンではNOVUpdate.exe.datを使用しています。コアメカニズムは同じです。
PlugXは歴史的に中国の国家利益に関連するスパイ活動オペレーターと関連付けられています。しかし、研究者たちはPlugXソースコードが地下フォーラムで流通しており、潜在的なオペレーターのプールを広げていることに注意しています。ツーリングのみに基づいた属性化は決定的ではありません。
明確なのは、このキャンペーンの背後にいるオペレーターが、証明されたサイドローディング技術と時宜に適った社会工学的誘い文句を組み合わせたことであり、AIツールの急増する人気を利用して、ユーザーにトロイの木馬化されたインストーラーを実行させようとしています。
安全を保つ方法
このキャンペーンが機能するのは、すべてが正常に見えるからです。アプリはインストールされ、起動され、期待どおりに動作しますが、隠れたサイドローディングチェーンはバックグラウンドで動作し、疑惑を避けるために署名されたセキュリティツールを使用しています。
攻撃者もまた動きが速いです。この技術はほんの数週間前に文書化されており、既に新しい誘い文句で再利用されています。AIツールの人気が高まるにつれて、このようなそっくりなサイトと偽のインストーラーが増えると予想できます。
影響を受けているかどうかを確認する方法は以下のとおりです：
- Startupフォルダで
NOVUpdate.exe、avk.dll、またはNOVUpdate.exe.datをチェックします。 - いずれかが存在する場合は、すぐにインターネットから切断してください。
- システム上で綴り間違いのディレクトリ
C:\Program Files (x86)\Anthropic\Claude\Cluade\を探します。 - Malwarebytesを使用してフルシステムスキャンを実行します。
- ファイアウォールまたはプロキシログで
8.217.190.58へのアウトバウンド接続を確認してください。 - 影響を受けたマシンからアクセスされたすべてのアカウントのパスワードを変更してください。PlugXバリアントはキーロギングと認証情報の盗難を含めることができます。
安全を保つために：
- Claudeは公式サイトからのみダウンロードしてください：claude.com/download
- メール、広告、または公式チャネル外で提供される「Pro」バージョンのリンクを避けてください
- ウェブ保護コンポーネント付きの最新の実際のアンチマルウェアソリューションを使用してください。
侵害の指標（IOCs）
ペイロードファイル名
Claude-Pro-windows-x64.zip (35FEEF0E6806C14F4CCDB4FCEFF8A5757956C50FB5EC9644DEDAE665304F9F96)—配布されたアーカイブNOVUpdate.exe (be153ac4db95db7520049a4c1e5182be07d27d2c11088a2d768e931b9a981c7f)—正規G DATAアップデーター（サイドローディングホスト）avk.dll (d5590802bf0926ac30d8e31c0911439c35aead82bf17771cfd1f9a785a7bf143)—悪意のあるDLL（PlugXローダー）NOVUpdate.exe.dat (8ac88aeecd19d842729f000c6ab732261cb11dd15cdcbb2dd137dc768b2f12bc)—暗号化されたペイロード
ネットワーク指標
8.217.190.58:443（TCP）—C2宛先
