No compartas chats de Claude Code o estarás en el punto de mira de los ciberdelincuentes
Elígenos como tu fuente preferida en Google.
Los atacantes se aprovechan de chat legítimos de Claude para instalar malware en el dispositivo, con el objetivo de robar todos sus archivos y dinero.
Los ciberdelincuentes ya están aprovechando el auge de los grandes modelos de lenguaje natural (LLM) para realizar campañas de ingeniería social que pueden provocar que un usuario ponga en peligro todos sus datos personales que haya compartido con estos chatbots.
Una investigación realizada por el equipo de inteligencia de amenazas de Zscaler ha sacado a la luz una nueva campaña conocida como ClaudeFix, que utiliza los chat legítimos del LLM de Anthropic para instalar de forma silenciosa un malware denominado MacSync Stealer.
Este código está específicamente dirigido a los dispositivos que usen macOS y permite que el atacante pueda robar credenciales de inicio de sesión, cookies del navegador, claves de cifrado e incluso billeteras de criptomonedas.
La compañía desconoce exactamente cuál ha sido el alcance concreto de esta campaña, pero tuvo lugar en un período muy concreto, entre el 12 y el 19 de junio de este mismo año, una estrategia que responde a la rapidez con la que querían actuar los ciberdelincuentes para que Anthropic no se diera cuenta.
En este sentido, los atacantes iniciaban su plan aprovechando la funcionalidad legítima de los chats compartidos de Claude, por lo que así aprovechaban la confianza de las víctimas desde el principio.
Tras ello, patrocinaban anuncios en buscadores legítimos relacionados con macOS para que los usuarios siguieran las instrucciones de estos chats oficiales compartidos. El resultado era la infección total con la técnica de ClickFix, ya conocida desde 2024 en el mundo de la ciberseguridad.
Los atacantes usaban enlaces legítimos de chats compartidos de Claude
Según detalla el informe técnico de Zscaler, esta campaña no comenzaba como suele ser habitual, con un enlace malicioso enviado al correo electrónico de la víctima, sino que estaba directamente indexado en los motores de búsqueda más habituales.
Los atacantes usaban una técnica conocida como malvertising –una modalidad del envenenamiento SEO que contrata espacios publicitarios en las primeras posiciones mediante Google Ads–, por lo que sus enlaces se situaban entre las primeras posiciones cuando un usuario buscaba el término "Claude Mac".
Es decir, que se aprovechaba de enlaces fiables de Claude para usuarios que buscaran esta IA para su dispositivo Mac, por lo que ya se ganaban desde el principio la confianza de las víctimas.
A partir de aquí, los investigadores de seguridad han detallado que el 100% de los enlaces provenían de Google Ads, la plataforma de la multinacional para posicionar en primer lugar los enlaces patrocinados habituales tras una búsqueda.
En su caso concreto, detectaron hasta 22 identificadores de campaña únicos, por lo que se podría decir que existía una infraestructura bien organizada para evadir los bloqueos en una sola cuenta.
Entre los términos asociados a esta campaña maliciosa, aparecen los básicos que se relacionarían con una búsqueda de Claude, como claude, claude ai, claude code, claude mac, ai claude, claude code desktop mac e incluso una versión específica en chino simplificado.
Una vez que el usuario pinchaba en el enlace malicioso, este redirigía a una URL oficial de Claude directamente alojada en los servidores de Anthropic, como es la de un chat compartido, que comienza con el dominio claude.ai/share/...
Un malware que roba absolutamente todo sin levantar sospechas
Tras ganarse la confianza del usuario, el chat compartido solía mostrar instrucciones propias de Claude para que la víctima realizada diferentes pasos en la terminal de su ordenador, incluso pudiendo copiar un script malicioso directamente.
"Al pegar la instrucción provista por la interfaz engañosa, la víctima ejecutaba una sintaxis basada en curl que descargaba de forma transparente el script malicioso de primera etapa y lo canalizaba de inmediato al intérprete de comandos Zsh, evitando almacenar un archivo en el disco que pudiera ser analizado de forma preliminar por el antivirus local", detallan en la investigación.
De esta forma, el usuario ejecutaba un script en la terminal que se saltaba cualquier barrera de seguridad; al ejecutarlo, se modificaba la configuración de la terminal para ser persistente, por lo que cada vez que la víctima abriera una nueva ventana en la terminal este se instalaba y ejecutaba de nuevo.
Incluso en pasos posteriores se aprovechaba de los menús de seguridad de Apple para aprovechar estos y que la víctima concediera accesos de privilegios al atacante, eliminando cualquier rastro y, por supuesto, accediendo a todos los archivos del sistema.
Con el acceso total y sin límites a los archivos, el malware creaba un directorio temporal donde se guardaba toda la información extraída: copiaba los datos de navegadores web basados en Chromium, accedía a las bases de datos del llavero de macOS y permitía buscar archivos directamente según extensiones, como documentos confidenciales en pdf, docx, txt y otros, además de llaves criptográficas de criptomonedas, sus certificados y las configuraciones VPN.
Tras haber recopilado toda la información, MacSync realizaba la exfiltración de datos personales sin levantar ningún tipo de sospecha mediante la compresión de los archivos en bloques idénticos de 10 megabytes.
En segundo lugar, si existía algún fallo en cualquier fragmento de datos por cuestiones derivadas de la red del usuario, volvía a intentar el envío hasta en 8 ocasiones más por cada bloque.
Una vez conseguida la exfiltración de los datos, el malware eliminaba todas las pruebas después del último envío al servidor del atacante, por lo que encontrar su rastro se hacía prácticamente imposible para los forenses digitales.
Lógicamente, Zscaler ha avisado sobre esta nueva modalidad a Anthropic y esta última compañía ha actuado rápidamente para desactivar todos estos enlaces comprometidos, por lo que ya no están disponibles.
Ahora bien, esto no quiere decir que no vuelvan a existir campañas de este tipo en un futuro no muy lejano, ya que desafortunadamente el control sobre este tipo de técnicas es muy limitado para los equipos de seguridad, más aún cuando el malware no deja rastro y es prácticamente invisible para las herramientas de seguridad.
De cualquier forma, a medida que estos asistentes de IA avanzan de forma imparable, se hace más necesario un análisis y una previsión sobre estas técnicas novedosas, para garantizar que un usuario no acabe regalando todos sus datos –y su dinero– a ciberdelincuentes.
asasa