קמפיין פרסום זדוני ניצל את מנוע החיפוש Bing כדי לדחוף למחשבים גרסה מזויפת של Claude, כלי הבינה המלאכותית הפופולרי. מי שלחץ על הפרסומת והתקין את הקובץ לא קיבל את התוכנה אלא נוזקה ששואבת סיסמאות, פרטי כרטיסי אשראי וקבצים מהמחשב.

מה קרה

חוקרי חברת האבטחה Huntress תיעדו את הקמפיין, שכינו FakeAgent, ומצאו שבין ה-21 ל-22 ביולי הוא פגע ב-29 ארגונים לפחות. התוקפים קנו פרסומות ממומנות ב-Bing שהתחזו לעמוד ההורדה הרשמי של Claude. כדי להיראות אמינים הם אף אירחו דף מלכודת על הדומיין הלגיטימי של Claude עצמו, שנלחץ 7,100 פעמים לפני שאנתרופיק הסירה אותו.

משם הופנו הגולשים לאתר שהגיש קובץ בשם ClaudeDesktop.exe. הקובץ נראה תמים ואף נשען על רכיב תוכנה לגיטימי כדי לעבור מתחת לרדאר, אבל בזמן ההתקנה הוא טוען בסתר קוד זדוני שמתקין את SectopRAT, סוס טרויאני לגישה מרחוק (תוכנה שנותנת לתוקף שליטה על המחשב מרחוק) שפעיל כבר משנת 2019. הנוזקה גונבת סיסמאות, פרטי אשראי, קובצי כניסה ועוגיות מהדפדפן, וגם מידע מאפליקציות כמו Discord ו-Telegram. כדי להקשות על זיהוי, היא בודקת אם היא רצה בסביבת בדיקה של חוקרי אבטחה ומשתהה כשהיא מזהה אחת כזו.

למה זה חשוב לכם

כלי בינה מלאכותית הפכו חלק מהשגרה גם בישראל, והרבה אנשים פשוט מקלידים את שם התוכנה בחיפוש ולוחצים על התוצאה הראשונה. הבעיה היא שהתוצאה הראשונה היא לעיתים קרובות פרסומת ממומנת, ותוקפים קונים בדיוק את המקום הזה. הטריק לא ייחודי ל-Claude: אותה שיטה עובדת עם כל תוכנה מבוקשת, מדפדפנים ועד אפליקציות לעריכת וידאו. וגם מי שמקפיד לבדוק את כתובת האתר עלול ליפול, כי הפעם התוקפים אירחו חלק מהמלכודת על הדומיין הרשמי של Claude ממש, כך שהקישור נראה אמין לחלוטין.

מה עושים?

הורידו תוכנות רק מהאתר הרשמי של היצרן. הקלידו את הכתובת ידנית או היכנסו דרך מקור מוכר, במקום לחפש "הורדה" ולחפש בתוצאות.

היזהרו מתוצאות חיפוש המסומנות כ"מודעה" או "ממומן". גם אם הכתובת נראית דומה, בדקו אותה אות אחר אות לפני שלוחצים.

אם התקנתם לאחרונה מתקין חשוד, הריצו סריקת אנטי-וירוס מלאה, החליפו את הסיסמאות לחשבונות החשובים, והפעילו אימות דו-שלבי (שכבת אישור שנייה מעבר לסיסמה).

לוקח שנייה נוספת להגיע לאתר הרשמי, ושנייה זו חוסכת שחזור של חשבונות פרוצים אחר כך.