Tấn công trình cài đặt giả mạo Claude Code để đánh cắp bí mật nhà phát triển

Các nhà nghiên cứu bảo mật tại Ontinue vừa phát hiện một chiến dịch đang diễn ra nhắm vào các nhà phát triển thông qua các trình cài đặt giả mạo cho Claude Code và các công cụ lập trình phổ biến khác.

Chiến thuật này bắt chước lệnh cài đặt một dòng chính thống nhưng thay đổi máy chủ đích thành một địa chỉ do kẻ tấn công kiểm soát. Cụ thể, thay vì tải xuống từ nguồn chính thức, lệnh độc hại sẽ chuyển hướng người dùng đến events.msft23.com.

Mã độc độc quyền nhắm vào trình duyệt Chromium

Payload (tải trọng) được sử dụng trong chiến dịch này là độc nhất và không khớp với bất kỳ họ phần mềm độc hại nào đã được ghi nhận trước đây. Tuy nhiên, nó gây ra hậu quả nghiêm trọng đối với các nhà phát triển bằng cách đánh cắp cookie đã giải mã, mật khẩu và phương thức thanh toán từ các trình duyệt dựa trên Chromium như Google Chrome, Microsoft Edge, Brave, Vivaldi và Opera.

Lách qua lớp bảo mật IElevator2

Điểm đáng chú ý của cuộc tấn công này là việc lạm dụng giao diện COM IElevator2. Đây là dịch vụ nâng cấp (elevation service) của Chromium, được sử dụng để xử lý App-Bound Encryption (ABE) – cụ thể là mã hóa và giải mã dữ liệu người dùng nhạy cảm như cookie và mật khẩu.

Google đã giới thiệu giao diện mới này vào tháng 1 năm nay nhằm bảo vệ dữ liệu trình duyệt Chromium trước các kẻ đánh cắp cookie, những người trước đây sử dụng các kỹ thuật vượt qua ABE và các công cụ đánh cắp phổ biến để sao chép cơ sở dữ liệu SQLite chứa cookie và mật khẩu đã lưu.

Tuy nhiên, những tội phạm tinh vi (và cả các nhà nghiên cứu bảo mật) đã sớm tìm ra cách lách qua để lạm dụng IElevator2, và phần mềm độc hại mới được phát hiện này là một ví dụ điển hình.

Quy trình tấn công tinh vi

Chiến dịch tấn công trải rộng trên ba tên miền, tất cả đều được đăng ký trong vòng sáu ngày vào tháng 4 và được ẩn danh qua Cloudflare. Nó dựa vào việc các nhà phát triển tìm kiếm cụm từ "install claude code" và chọn một kết quả được tài trợ dẫn đến trang cài đặt Claude Code giả mạo.

Trang web này tải xuống và thực thi trình cài đặt chính thức của Anthropic, nhưng nhóm Ontinue phát hiện rằng chỉ dẫn độc hại không được lưu trữ trong chính tệp tin đó, mà được hiển thị trực tiếp vào HTML của trang đích.

"Do đó, các trình quét tự động, dịch vụ danh tiếng URL và bất kỳ người xem hoài nghi nào chỉ đơn giản là curl URL sẽ quan sát thấy một PowerShell sạch sẽ được gửi từ tên miền mặt tiền Cloudflare mang chứng chỉ Let's Encrypt hợp lệ," các nhà nghiên cứu viết. "Trong khi đó, nạn nhân lại được presented với một lệnh hoàn toàn khác."

Lệnh được dán này chuyển hướng nạn nhân đến trình tải PowerShell bị che giấu, sau đó tiêm một trình hỗ trợ AEB gốc vào quy trình trình duyệt đang hoạt động. Mục đích "độc quyền" của trình hỗ trợ này là gọi giao diện COM IElevator2 của trình duyệt và lấy lại khóa mã hóa App-Bound Encryption.

Trình hỗ trợ định dạng một đường ống (pipe) để exfiltrate (tấn công xuất ngầm) dữ liệu nhạy cảm sử dụng quy ước đặt tên Mojo hợp pháp của Chromium cho các đường ống IPC. Sau đó, nó cố gắng sử dụng IElevator2 để giải mã các bí mật của nhà phát triển, nhưng sẽ quay lại giao diện cũ trên Elevation Service cùng với IElevator cũ nếu giao diện mới không hoạt động.

Sau khi nhận được khóa ABE từ trình hỗ trợ, trình tải PowerShell sẽ giải mã cơ sở dữ liệu trình duyệt cục bộ và gửi dữ liệu bị đánh cắp đến máy chủ do kẻ tấn công kiểm soát thông qua tệp lưu trữ secure_prefs.zip trong bộ nhớ.

Khó khăn trong việc phát hiện

Các thợ săn phần mềm độc hại cho biết họ đã so sánh mã độc này với các báo cáo đã xuất bản về một số trình đánh cắp – bao gồm Lumma, StealC, Vidar, EddieStealer, Glove Stealer, Katz Stealer, Marco Stealer, Shuyal, AuraStealer, Torg Grabber, VoidStealer, Phemedrone, Metastealer, Xenostealer, ACRStealer, DumpBrowserSecrets, DeepLoad và Storm – nhưng không tìm thấy sự trùng khớp về mặt kỹ thuật.

Gần giống nhất là Glove Stealer, được Gen Digital ghi nhận lần đầu vào tháng 11 năm 2024, cũng lạm dụng IElevator thông qua mô-đun hỗ trợ giao tiếp qua một đường ống có tên. Tuy nhiên, mô hình điều phối khác với Glove ở chỗ nó sử dụng "một trình hỗ trợ gốc nhỏ đóng vai trò là tiên tri ABE đơn mục đích, với tất cả hoạt động hiển thị phát hiện được đẩy vào PowerShell".

Theo nhóm nghiên cứu, sự tách biệt này rất quan trọng đối với những người phòng thủ vì "các bộ quy tắc hành vi nhìn vào tệp PE gốc một cách cô lập sẽ không thấy gì có thể hành động", như họ viết. "Việc phát hiện phải thực hiện tại lệnh gọi COM và tại lớp PowerShell."