Фейковые сайты Gemini и Claude Code заразили ПК пользователей стилерами
3 мин
22
Поддельные сайты, имитирующие инструменты Google Gemini CLI и Anthropic Claude Code, используют для заражения устройств пользователей похитителями данных. Такую кампанию выявили эксперты из EclecticIQ.
Первым на угрозу обратил внимание независимый исследователь под ником @g0njxa. 21 апреля он опубликовал в социальной сети X сообщение о подмене страницы Gemini CLI — инструмента командной строки для работы с ИИ-моделями Gemini. На основе этих данных специалисты провели расследование и установили, что злоумышленники начали регистрировать вредоносные домены для кампании полтора месяца назад. Выбор доменных зон — .co.uk, .us.com и .us.org — указывает на то, что она ориентирована на пользователей из США и Великобритании.
Для продвижения поддельных страниц использовалось SEO-отравление: фейковые домены поднимались выше легитимных сайтов в результатах поисковых систем. Попав на такую страницу, пользователь видел копию официальной инструкции по установке инструмента и получал предложение выполнить команду PowerShell в терминале. После запуска команда загружает вредоносное программное обеспечение. Оно работает целиком в оперативной памяти без записи файлов на диск и передаёт собранные данные на командный сервер в зашифрованном виде.
В отчёте аналитики указали, что набор целевых приложений свидетельствует о направленности атаки на корпоративных пользователей и рабочие станции разработчиков. Вредонос извлекает логины, сессионные куки, данные автозаполнения и историю форм из браузеров на базе Chromium (Chrome, Edge, Brave), а также из Firefox.
Помимо браузеров, под удар попадают мессенджеры и платформы совместной работы: Slack, Microsoft Teams, Discord, Mattermost, Zoom, Telegram Desktop, LiveChat, Notion и Zoho Mail Desktop. Доступ к сессионным данным любого из этих сервисов открывает злоумышленнику путь к рабочему пространству жертвы, включая переписку, файлы и подключённые интеграции. Дополнительно вредонос собирает конфигурационные файлы OpenVPN, данные криптовалютных кошельков, файлы из облачных хранилищ Proton Drive, iCloud Drive, Google Drive, MEGA, OneDrive, а также пользовательские документы и системные метаданные. Предусмотрена и функция удалённого выполнения произвольного кода на заражённом устройстве.
В случае с Gemini CLI пользователи попадали на фейковую страницу geminicli[.]co[.]com, откуда загрузчик вредоноса скачивался с домена gemini-setup[.]com. Собранные данные отправлялись на командный сервер events[.]msft23[.]com. В конце марта исследователи зафиксировали регистрацию двух аналогичных доменов для подмены Claude Code: claudecode[.]co[.]com и claude-setup[.]com. Схема атаки повторяла предыдущую, а командным сервером служил events[.]ms709[.]com. Сходство инфраструктуры и методики обеих кампаний позволяет специалистам ИБ предположить, что за ними стоит один исполнитель.
