Onderzoekers van Sophos waarschuwen voor een nepversie van de Claude AI-website die een kwaadaardige download aanbiedt. Deze download, zogenaamd de Claude-Pro Relay, bevat een tot nu toe onbekende Windows-backdoor genaamd Beagle. De aanvallers presenteren Claude-Pro als een hoogwaardig relay service voor ontwikkelaars van Claude-Code, maar de website is een eenvoudige imitatie van de legitieme Claude AI-site, met vergelijkbare kleuren en lettertypen. De links op de site leiden echter alleen maar terug naar de startpagina, aldus Sophos.

Bezoekers die op de site "claude-pro[.]com" terechtkomen en niet doorhebben dat het om een nepwebsite gaat, kunnen alleen een grote downloadknop aanklikken. Deze download betreft een 505MB groot archief met de naam 'Claude-Pro-windows-x64.zip', dat een MSI-installatiebestand bevat voor het vermeende Claude-Pro Relay product. Bij het uitvoeren van dit bestand worden drie bestanden toegevoegd aan de opstartmap: NOVupdate.exe, NOVupdate.exe.dat en avk.dll. De campagne werd aanvankelijk ontdekt door Malwarebytes, die melden dat de 'Pro' installer een getrojaniseerde versie van Claude is die normaal functioneert, maar op de achtergrond de PlugX-malwareketen installeert. Deze malware geeft aanvallers op afstand toegang tot het systeem.

Verder onderzoek door Sophos toonde aan dat de eerste payload DonutLoader is, een open-source in-memory injector, die een relatief eenvoudige backdoor installeert die zij Beagle noemen. Deze backdoor beschikt over een beperkt aantal commando’s, zoals het uitvoeren van opdrachten, uploaden en downloaden van bestanden, aanmaken en verwijderen van mappen, en hernoemen van bestanden. Het is belangrijk te benadrukken dat deze Beagle backdoor niet verwant is aan de Delphi-gebaseerde Beagle/Bagle worm die in 2004 werd gedocumenteerd.

De NOVupdate.exe is een ondertekende updater voor G Data beveiligingsoplossingen die door de aanvallers wordt misbruikt om de kwaadaardige avk.dll en het versleutelde NOVupdate.exe.dat bestand te laden. De DLL zorgt ervoor dat de payload in NOVupdate.exe.dat, namelijk DonutLoader, wordt ontsleuteld en in het geheugen wordt uitgevoerd. Sophos merkt op dat het sideloaden van de AVK DLL en een versleuteld bestand met een G Data ondertekend uitvoerbaar bestand in het verleden al in verband werd gebracht met PlugX-activiteiten.

De DonutLoader injecteert vervolgens de Beagle backdoor in het systeemgeheugen om detectie te voorkomen. Deze backdoor communiceert met een command-and-control server op ‘license[.]claude-pro[.]com’ via TCP-poort 443 en/of UDP-poort 8080, waarbij een hardcoded AES-sleutel wordt gebruikt om de communicatie te beveiligen. Het IP-adres van de C2-server, 8.217.190[.]58, valt volgens Malwarebytes binnen het bereik van de Alibaba-Cloud dienst.

Verdere analyse door Sophos bracht aanvullende Beagle-monsters aan het licht die tussen februari en april van dit jaar op VirusTotal zijn ingediend. Deze monsters gebruikten dezelfde XOR-decryptiesleutel, maar verspreidden zich via verschillende aanvalsketens, waaronder Microsoft Defender binaries, AdaptixC2 shellcode, een lok-PDF en nep-updatewebsites van diverse beveiligingsleveranciers zoals CrowdStrike, SentinelOne en Trellix. Hoewel Sophos de campagne niet met zekerheid aan een specifieke dreigingsactor kan toeschrijven, vermoeden zij dat dezelfde groep achter PlugX experimenteert met deze nieuwe payload.

Gebruikers wordt geadviseerd Claude uitsluitend van de officiële website te downloaden en gesponsorde zoekresultaten te negeren of te verbergen. De aanwezigheid van ‘NOVupdate’ bestanden op een systeem is een sterke aanwijzing voor een besmetting.