Claudeを装う偽サイトと偽インストールページによる攻撃
- タグ
- 国外
Push Security・Malwarebytes・Trend Micro・Sophosの2026年3月〜5月の報告によると、AnthropicのClaudeを装う偽サイトと偽のインストール手順ページが、利用者にマルウェアを実行させていた［1、2、3、4］。Sophosの8月19日の報告では、最も多く悪用されたおとりのブランドがClaudeだった［5］。
報告の内容
AnthropicはClaude Codeを、2025年2月24日に限定的なリサーチプレビューとして公開した［9］。同社の文書によると、Claude Codeは端末でシステムごとのコマンドを実行して入れ、方式はネイティブインストール（推奨）・Homebrew・WinGetの3つである［7］。ネイティブインストールでは、claude.aiのインストールスクリプトを取得して実行する［7］。Claudeのデスクトップアプリは、Anthropicのダウンロードページが、macOS・Windows・Windows（arm64）向けに配っている［8］。
偽サイトclaude-proの感染連鎖
Malwarebytesは、ClaudeのPro版の公式ダウンロードページを名乗る偽サイトが、Claude-Pro-windows-x64.zipを配っていたと報告した［2］。ZIPの中のMSIインストーラーのインストール先は、Program Files (x86)\Anthropic\Claude\Cluadeのフォルダだった［2］。デスクトップに置くショートカットClaude AI.lnkを開くとVBScriptのドロッパーが動き、本物のclaude.exeを前面で起動する［2］。その間にVBScriptは、NOVUpdate.exe・avk.dll・NOVUpdate.exe.datの3ファイルをスタートアップフォルダにコピーし、NOVUpdate.exeを非表示で起動する［2］。
Malwarebytesの説明では、NOVUpdate.exeはG DATAのウイルス対策製品の正規の署名付き更新プログラムで、同じフォルダのavk.dllを読み込む［2］。Malwarebytesはこれを、悪意あるavk.dllを読み込ませるDLLサイドローディング（MITREのT1574.002）だと説明した［2］。Lab52の報告に基づいてavk.dllが.datのペイロードを復号すると見込み〔注1〕、署名付き実行ファイル・トロイの木馬化したDLL・暗号化したデータファイルの3点の組をPlugXの特徴とした［2］。
サンドボックスでは、ファイルの設置の22秒後にNOVUpdate.exeが443番ポートへ最初のTCP接続を確立し、観測中に接続を繰り返した［2］。接続先はAlibaba Cloudに関連するアドレス範囲にあったが、Malwarebytesはホスティング事業者だけではIPアドレスの悪意ある所有を示さないとした［2］。
Sophos X-Opsの5月7日の報告では、PlugXに似た作戦と考えて偽サイトを調べたところ、最初の段のDonutLoaderと、Sophosの知る限り未報告のバックドアが続いていた［4］。偽サイトclaude-pro[.]comは正規のClaudeのサイトに似たフォントと配色だが簡素で、数本のリンクの多くはトップページに戻る［4］。サイトはClaude-Pro-windows-x64.zipを「Claude-Pro Relay」という製品として配り、大きさは約505MBだった［4］。
Sophosは、サイドロードされたDLLがNOVupdate.exe.datを反転とXORで復号し、オープンソースのメモリ内ローダーDonut（DonutLoader）のシェルコードを実行すると報告した［4］。Donutが読み込む最終のペイロードはuninstall・cmd・upload・download・mkdir・rename・ls・rmの8つのコマンドを持つ［4］。Sophosはこれを比較的単純なバックドアと評価した［4］。バックドアはAESの鍵をハードコードしており、C2サーバーlicense[.]claude-pro[.]com（IPアドレス8[.]217[.]190[.]58）とTCPかUDP、またはその両方で通信する［4］。
このバックドアの公開の報告は見つからず、Sophosは「Beagle」と名付けた［4］。2004年に観測されたBagle/Beagleワームとは、Sophosの知る限り関係が無い［4］。配布はCloudflare経由で、C2はAlibaba Cloud上にあった［4］。
Sophosは、claude-pro[.]comが活動中のマルバタイジングの作戦の一部である可能性が高いとみている［4］。マルバタイジングは一般に、スポンサーリンクへの支払いかSEOポイズニングで行われると説明した［4］。Sophosが疑うのは攻撃者がCloudflareのオリジン証明書を誤って公開した可能性で、その証明書は3月に設置されたホスティングサーバーを示していた［4］。もう1台の関連サーバーは4月中旬に登録されたドメインに結び付き、ダウンロードできるファイルは無く、Sophosはこれを構築中の作戦の一部の可能性があるとした［4］。
ITProの5月8日の記事によると、Cofenseのサイバーインテリジェンスチームのマネージャーは、手口の多くはよく知られたものだが、動く正規のClaudeまで入れる点が珍しいと述べた［6］。資源を多く使うプログラムの導入は、裏で続く別の活動を隠す助けにもなりうるとの見方も示した［6］。
InstallFixの手口と感染連鎖
Push Securityは、正規のCLIツールのインストールページを複製し、本物に見せかけた悪意あるインストールコマンドを示す手口をInstallFixと呼んでいる［1］。従来のClickFixは偽のCAPTCHAなどでコマンドを実行させる理由を作る必要があるが、InstallFixの口実は利用者が正規のソフトを入れたいことそのものだと説明した［1］。Claude Codeの推奨のインストール方法は、遠隔のスクリプトをシェルに渡す1行のコマンドだとした［1］。
Push Securityの報告によると、攻撃者はClaude Codeのインストールページを、レイアウト・ブランド・ドキュメントのサイドバーまで複製して類似ドメインに置いた［1］。違いはインストールコマンドだけで、claude.aiでなく攻撃者のサーバーからスクリプトを取得するものだった［1］。偽ページで他の操作をすると正規のサイトに転送されるため、手順に従った被害者は異常に気付かずに続けられる［1］。
偽ページはGoogle広告だけで配られ、「Claude Code」「Claude Code install」「Claude Code CLI」などの検索のスポンサー枠に表示された［1］。置き場所にはCloudflare Pages（pages.dev）・Squarespace・Tencent EdgeOneが使われていた［1］。Push Securityは、異なるサイトが同一のバイナリを実行していたことから、単一の攻撃者のキャンペーンとみている［1］。
Push Securityは、Windowsではcmd.exeがmshta.exeを起動して遠隔のURLの内容を取得・実行し、macOSのペイロードには追加の符号化と段階的な実行の層があると分析した［1］。ペイロードは、情報窃取型マルウェアAmatera StealerのYaraシグネチャに一致していた［1］。Push Securityの説明では、Amateraはブラウザに保存したパスワード・Cookie・セッショントークン・システム情報などを盗む比較的新しいマルウェアである［1］。2025年ごろから公に現れ、ACR Stealerの発展形とされ、サブスクリプションで犯罪者に販売されている［1］。
Trend Micro（TrendAI）の5月5日の報告では、InstallFix（別名Fake Claude Installer）はソーシャルエンジニアリング攻撃とされた〔注2〕［3］。攻撃者はClaude Codeを検索する利用者を狙ってGoogle広告の枠を買い、偽ページはClickFixの手口で、OS別のコマンドを必要なインストール手順として実行させた［3］。MDRの顧客からの声では、利用者は検索結果の最上部のスポンサーリンクから偽ページを訪れ、Google広告で宣伝されていたため正規のサイトだと考えていた［3］。偽サイトのボタンは機能しないようで、広告のURLはGoogle広告のリンクの構造を模していた［3］。
Trend Microは、エンドポイントのPowerShellがmshta.exeを起動し、既知の悪性ドメインからclaude.msixbundleを取得して実行していたと報告した［3］。このファイルは拡張子に反してZIPとHTAの多重形式（polyglot）で、ZIPにはMicrosoft Marketplaceの有効な署名を持つ正規のMicrosoft Bingのパッケージが入っていた［3］。続くPowerShellのステージャーは、コンピューター名とユーザー名のMD5から被害者ごとの識別子を作り、SSLの検証とAMSIを無効にして、被害者ごとのC&CのURLから次の段をメモリ上で実行する［3］。最終のペイロードは、TrendAI Apex OneがStage 3で処理の連鎖を止めたため、完全には回収できなかった［3］。
Trend Microの報告によると、TrendAI Vision Oneのテレメトリで、永続化のためのスケジュールタスクの作成と攻撃者のC&Cサーバーへの通信を確かめた［3］。動的解析では、e-walletのアプリとブラウザのデータを集める挙動と、3回の実行ごとに異なる外向きの接続を観測した［3］。特定した侵害の痕跡はRedLine stealerに関連し、2023年のその作戦に似た手法を示していた［3］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Push Security | Claude Codeの偽インストールページの報告を公開した | ［1］ |
| 2026年 | Push Security | Claude Codeのdocsページと、GoogleのNotebookLMを狙うページの追加を追記した | ［1］ |
| 2026年 | Malwarebytes | Claudeを装う偽サイトがPlugXの感染連鎖を配ると報告した | ［2］ |
| 2026年 | Trend Micro | InstallFixの感染連鎖と標的の国・業種を報告した | ［3］ |
| 2026年 | Sophos X-Ops | 偽サイトclaude-pro[.]comの感染連鎖の解析を報告した | ［4］ |
| 2026年 | Sophos X-Ops | 12か月のMDRの事例のうちAIのブランドを装う攻撃の集計を報告した | ［5］ |
根拠と範囲
Sophos X-Opsは、2025年7月2日から2026年6月29日までの12か月のMDRの事例を調べた［5］。
| 区分 | 件数 | 資料 |
|---|---|---|
| AIの関与の印が付いた事例 | 86件 | ［5］ |
| 個別に調べて真の敵対的なAIの活動と確かめた事例 | 34件 | ［5］ |
| 分析者の調査で加えた事例（Beagleを配った偽のClaudeサイトを含む） | 4件 | ［5］ |
| 総数 | 38件 | ［5］ |
| AIソフトウェアのなりすまし | 30件 | ［5］ |
| Claudeのブランドを使った事例 | 26件 | ［5］ |
Sophos X-Opsの集計では、偽のAIインストーラーの作戦が最大の集まりだった［5］。ある事例では、偽のClaudeサイトがmshtaの1行のコマンドを実行させ、claudeまたはclaude.msixbundleという名前のWindowsのアプリパッケージのインストーラーを取得させた［5］。MDRの事例の外で見た最も作り込まれた例は、Beagleに至るDLLサイドローディングの連鎖を配った偽のClaudeサイトだった［5］。
Push Securityは、同社が遮断するClickFixの誘い文句の5件に4件が、検索エンジンから開かれているとした［1］。報告の主眼はキャンペーンの規模と誘導の手口で、マルウェアの詳細な解析ではないと追記で断った［1］。同じ追記では、別のドメインの調査で、類似のペイロードが多様に配られていることを示す他の研究を見つけたとした［1］。
Trend Microが攻撃を確認した対象は、地域が米州・アジア太平洋・中東・アフリカ（AMEA）・欧州、国がマレーシア・オランダ・タイ・米国、業種が電子機器・教育・食品飲料・政府だった［3］。
Sophosは、同じXORの鍵を使う別の検体もVirusTotalで見つけた［4］。2月の検体は、Microsoft Defenderのユーティリティ（MpCopyAccelerator.exe）と悪意あるMpClient.dllの組だった［4］。3月の検体は、AdaptixC2に関連するシェルコードを実行した［4］。4月の検体は2つあり、1つ目はClaude-Pro-Relay-Technical-Overview.zipという名前のアーカイブで、claude-pro[.]comのサブドメインへ接続するものだった［4］。
Sophosの解析によると、PlugXに関連付けられてきたほぼ同一のサイドローディングの連鎖で、別のバックドアが届いていた［4］。Sophosはこれを、攻撃者が連鎖を保ったままPlugXを差し替えたか、他の攻撃者の連鎖を模倣した例の可能性があるとした［4］。年初からのDonutの検体で同じXORの鍵の再利用と解析妨害の手法が見られ、コードの継続性を示しうるが、Sophosは検体が同一の攻撃者に結び付くと結論するには更なる証拠が要ると断った［4］。
Malwarebytesは、PlugXは中国の国家の利益に結び付くスパイ活動の運用者と歴史的に関連付けられてきたが、ソースコードが地下フォーラムで出回っていると説明した［2］。ツールだけに基づく帰属は決定的でないとも書いた［2］。
Malwarebytesによると、同じG DATAのavk.dllを使う手口はLab52が2月に「PlugX Meeting Invitation via MSBuild and GDATA」で公表しており、そこでは偽の会議招待のフィッシングメールが使われた［2］。
関係者の対応
Malwarebytesは、Claudeを公式サイトclaude.com/downloadからだけ入手するよう勧めた［2］。Sophosが勧めたのは、正規のサイトからだけClaudeを入手し、広告とスポンサー検索結果のリンクに注意し、スタートアップフォルダの3ファイルとclaude-pro[.]comへの接続を確かめることだった［4］。Sophos X-Opsは12か月の集計の報告で、AIのツールは確認したベンダーのドメインからだけ入れるのが最善の防御だと書いた［5］。
未公表の事項
- AnthropicとG DATAの見解（Claudeの偽サイトと偽ページ、署名付き更新プログラムの悪用）
- 偽サイトclaude-pro[.]comへの誘導に使われた広告と検索語
- 被害者と感染した端末の数、窃取された情報
- 攻撃者
- 偽サイトと広告の停止・削除の時期
注
出典
調査・観測
- ［1］Push Security『InstallFix: How attackers are weaponizing malvertised install guides』（2026年3月6日公開、2026年3月16日更新）
- ［2］Malwarebytes『Fake Claude site installs malware that gives attackers access to your computer』（2026年4月10日公開）
- ［3］Trend Micro『InstallFix and Claude Code: How Fake Install Pages Lead to Real Compromise』（2026年5月5日公開）
- ［4］Sophos『Donuts and Beagles: Fake Claude site spreads backdoor』（2026年5月7日公開）
- ［5］Sophos『Fake AI, real malware: Attackers impersonating AI brands』（2026年8月19日公開）
報道機関
- ［6］Future Publishing『Claude users beware, hackers are using a fake website to dupe developers and deliver malware』（2026年5月8日公開）
背景資料
- ［7］Anthropic『Set up Claude Code』（公開日不明、2026年11月5日閲覧）
- ［8］Anthropic『Download Claude』（公開日不明、2026年11月5日閲覧）
- ［9］Anthropic『Claude 3.7 Sonnet and Claude Code』（2025年2月24日公開）
更新記録
- 2026年5月10日：公開した。
- 2026年8月19日：Sophos X-Opsの8月19日の報告（出典5）で示されたMDRの事例の集計を「根拠と範囲」に、AIのツールの入手先の勧めを「関係者の対応」に加え、リードの最後の文と「時系列」を改めた。