){kind=small}
)
Uma campanha ativa está roubando credenciais que usa o nome do Claude Code, ferramenta de programação por inteligência artificial da Anthropic, para enganar usuários inexperientes. O ataque começa quando a vítima pesquisa no Google como instalar o programa e encontra um site falso posicionado no topo dos resultados de busca.
A Anthropic não foi comprometida. O que os criminosos estão fazendo é imitar a marca para atingir quem ainda não conhece o produto.
Nossos vídeos em destaque
Quem são as vítimas
O perfil das vítimas não é o de profissionais de TI, como de costume. Na verdade, são pequenos empreendedores querendo automatizar processos, professores construindo ferramentas próprias e pessoas que descobriram recentemente que podem criar programas sem ter formação em tecnologia. Esse grupo combina alto entusiasmo com baixa familiaridade com ameaças digitais.
)
Os criminosos monitoram quais ferramentas de IA estão crescendo rápido em número de usuários e o Claude Code virou alvo exatamente por isso. Quanto mais gente nova busca como instalar o programa, maior a chance de alguém cair na página falsa.
ClickFix como isca
A técnica usada para enganar as vítimas se chama ClickFix e tem aparecido em diversas campanhas ao longo dos últimos meses. O site falso instrui o usuário a abrir a janela "Executar" do Windows, usando o atalho Win+R e colar um comando de texto. A interface apresenta isso como um passo obrigatório de instalação.
Para quem nunca instalou o Claude Code, não há nenhum sinal de alerta. Colar comandos durante uma instalação parece tão plausível quanto qualquer outra etapa de um tutorial.
)
O arquivo disfarçado
Ao executar o comando, o computador baixa um arquivo de 6,7 MB que parece ser um MP3. Ele tem capa, tags de áudio e até trechos sonoros válidos que podem ser reproduzidos normalmente em um tocador de música. Ferramentas de segurança que identificam arquivos pelo tipo veem um áudio legítimo e não disparam alertas.
O que essas ferramentas não veem é o script malicioso escondido dentro do mesmo arquivo. O Windows não o trata como música. Ele encontra o código oculto e o executa diretamente.
Desmontando as defesas do sistema
A partir daí, o ataque toma conta do computador em etapas. Primeiro, o script abre uma versão antiga do PowerShell, o terminal de comandos do Windows, especificamente a de 32 bits. Sistemas de segurança modernos tendem a monitorar mais a versão atual, de 64 bits, e os criminosos sabem disso.
)
Com o PowerShell aberto, o código desativa o AMSI, que é o verificador de scripts embutido no Windows e funciona como uma camada extra de proteção contra comandos maliciosos. Sem essa barreira, o próximo passo fica livre para rodar sem interferência.
O sistema então baixa um segundo arquivo diretamente na memória do computador, sem salvar nada no disco rígido. Isso é importante porque a maioria dos antivírus rastreia arquivos gravados no sistema. O que nunca toca o disco é muito mais difícil de detectar.
Esse arquivo tem 17 MB, um tamanho incomum para esse tipo de código. Ferramentas automatizadas de análise de segurança, chamadas sandboxes, costumam travar ou abortar a análise quando encontram arquivos tão grandes, deixando o conteúdo passar sem inspeção.
)
Como o roubo acontece
O programa que chega ao final dessa cadeia acessa o banco de dados interno dos navegadores, onde ficam armazenadas senhas salvas, e envia tudo para um servidor com infraestrutura russa.
Cada vítima recebe um link de download gerado a partir do nome do próprio computador e do nome de usuário. Isso cria um endereço único para cada infecção, o que torna inútil compartilhar links específicos como alerta. O domínio oakenfjrod[.]ru é o indicador confiável, e os pesquisadores recomendam bloqueá-lo por completo.
O que fazer agora
Quem seguiu instruções de instalação do Claude Code que pediam para colar um comando no "Executar" do Windows deve considerar o computador comprometido. A recomendação é trocar todas as senhas imediatamente, de preferência usando outro dispositivo.
)
A instalação legítima do Claude Code é feita diretamente pelo site oficial da Anthropic, em anthropic.com, sem passar por links patrocinados ou resultados de busca que levem a páginas desconhecidas.
Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
