Hackers vermommen malware als Claude Code, en het is makkelijk om in de scam te trappen
Samenvatting
- Onderzoekers hebben een nieuwe malwarecampagne ontdekt die gericht is op AI-ontwikkeltools.
- De aanval maakt gebruik van gesponsorde links op Google om officiële installatie-instructies na te bootsen.
- Doelen zijn onder andere populaire AI-tools zoals Claude Code en OpenClaw.
Met de explosieve populariteit van AI-tools was het slechts een kwestie van tijd voordat de hackers zouden toeslaan. De nieuwste reeks AI-gerelateerde malware richt zich op ontwikkelaarstools zoals Claude Code en OpenClaw, en het is sluw. Onderzoekers van Kaspersky ontdekten een campagne die gericht is op ontwikkelaars die "op zoek zijn naar installatie-instructies voor Claude Code," volgens een bericht dat op 16 maart is gepubliceerd.
Hoe de aanval werkt
Kwaadaardige opdrachten die zich in het volle zicht verbergen
Kaspersky ontdekte dat wanneer je zoekt naar de zin "Claude Code download," gesponsorde advertenties bovenaan de pagina verschijnen (geen verrassing daar). De onderzoekers ontdekten echter dat een van deze advertenties doorverwijst naar een kwaadaardige pagina die sterk lijkt op de officiële installatie-instructies voor Claude Code. De timing is ongelukkig, aangezien Claude de afgelopen weken enorm populair is geworden.
Deze kwaadaardige pagina is visueel identiek aan de werkelijke Claude Code-instructies, tot aan de instructies zelf. Het verschil ligt in de installatiecommando's — wanneer je de commando's van deze pagina uitvoert, installeer je in plaats van Claude malware. Het lijkt erop dat degene die achter deze aanvallen zit hoopt dat gebruikers de code gewoon kopiëren en plakken zonder dit dubbel te controleren (wat, helaas, vrij vaak voorkomt).
De aanvallen richten zich niet alleen op Claude Code — Kaspersky heeft ook vergelijkbare campagnes gevonden die "andere populaire AI-tools" aanvallen, waarbij specifiek de virale en zeer nuttige OpenClaw en Doubao (een AI-tool van ByteDance) worden genoemd. Het zijn ook niet de eerste aanvallen van dit type die AI-tools richten. Kaspersky beweert een soortgelijke aanval te hebben gevonden met Google Ads in december 2025.
Wat gebeurt er als je de kwaadaardige opdrachten uitvoert?
Als je deze nepcommando's uitvoert, in plaats van Claude Code te installeren, eindig je met een van de twee infostealers, afhankelijk van je besturingssysteem:
- Windows: Als je Windows gebruikt, zullen de opdrachten Amatera installeren. Deze malware "verzamelt gegevens uit gebruikersmappen, webbrowsers en cryptocurrency-portefeuilles" en stuurt die gegevens vervolgens naar een externe server. Kaspersky zegt dat Amatera in eerdere campagnes is gebruikt.
- macOS: macOS-gebruikers krijgen AMOS, een infostealer die vaak wordt gebruikt om Apple-apparaten te targeten.
De post van Kaspersky benadrukt het feit dat deze aanvallen specifiek gericht zijn op ontwikkelaars, wat in veel gevallen betekent dat het niet alleen persoonlijke informatie is, maar mogelijk ook bedrijfsgegevens die worden gestolen.
Hoe veilig te blijven
Controleer alles dubbel!
Deze aanvallen zijn zorgwekkend, maar zouden vermijdbaar moeten zijn zolang je de basisprincipes van beveiliging volgt. De onderzoekers van Kaspersky doen de volgende suggesties (parafraseerd):
- Controleer links: Controleer altijd links, of het nu directe downloads zijn of links naar een downloadpagina. De kwaadaardige sites die bij deze aanvallen worden gebruikt, worden gehost op Squarespace, en dat is zichtbaar in de URL.
- Controleer opdrachten: Kopieer en plak terminalopdrachten niet zomaar blindelings. Bekijk ze altijd voordat je ze uitvoert — zelfs als de bron officieel lijkt.
- Zorg ervoor dat je begrijpt wat je doet: Voer geen commando's uit als je niet weet wat ze doen.
- Gebruik betrouwbare beveiligingsoplossingen: Heb systemen om malware te detecteren.
Een ander belangrijk punt dat hier niet wordt genoemd, is om officiële links in Google-zoeken te volgen, in plaats van gesponsorde links. Hoewel organische zoekresultaten kwaadwillend kunnen zijn, is de kans over het algemeen groter dat je dit soort aanval tegenkomt via gesponsorde links — vooral wanneer de kwaadwillende site probeert een legitieme site na te bootsen.
Houd je ogen daar open — ik zou verwachten dat AI-gerelateerde aanvallen zoals deze in populariteit blijven toenemen.