虚假的“克劳德”应用：Bing广告引导用户访问了Anthropic的真实网站

过去几天里，任何在必应上搜索“Claude”桌面应用的人，即使没有犯任何明显错误，也可能感染了恶意软件。最顶部的付费广告指向了 claude.ai——这是 Anthropic 的真实网址。陷阱就藏在那里。

安全公司 Huntress 于 7 月 22 日公布了这一案例。7 月 21 日至 22 日期间，至少有 29 家组织遭到攻击。Huntress 将此次攻击活动命名为“FakeAgent”。

该伪造页面就托管在 Anthropic 自己的域名上

这得益于一项名为“Artifacts”的功能。Claude 利用该功能在聊天窗口旁边的面板中渲染代码、文档或整个网页。Artifacts 支持公开分享，任何人无需账户即可打开。攻击者正是通过这种方式构建了一个与官方下载页面完全一致的副本，随后购买了一条指向该页面的 Bing 赞助广告。

唯一的线索是左上角的一行简短提示：“内容由用户生成且未经核实。”但任何查看地址栏的人都会看到“claude.ai”并点击进入。 在 Huntress 报告该情况后，Anthropic 将其下线前，该页面已累计获得 7,100 次浏览。

下载按钮确实会将用户引导至站外，首先跳转至 claude.ai.download-app[.]us，随后再跳转至 downloading-api.it[.]com。其中的玄机在于网址的构建方式。 在此，claude.ai 仅是位于实际域名 download-app.us 之前的子域名，而该域名注册于 5 月 9 日。

一个包含他人代码的真实文件

最终存入磁盘的 ClaudeDesktop.exe 根本不是 Claude 软件。它其实是 JetBrains 提供的一个经过数字签名的正版组件，且支持 DLL 旁加载。DLL 代表动态链接库（Dynamic Link Library），是一种应用程序在启动时加载的程序库。 在侧载攻击中，攻击者会将该库的篡改版本放置在正常程序旁边。程序会不加怀疑地加载它，而恶意代码则借着该已签名文件的良好声誉运行。

攻击链的末端是 SectopRAT，这是一种自 2019 年起就存在的远程访问木马。 它会窃取密码、信用卡信息、文件、浏览器登录凭据和Cookie、FTP凭据，以及Discord、Telegram、Steam和VPN账户中的数据。为了获得持久访问权限，该攻击活动还会释放一个名为DockerDesktop.exe的文件，并将其注册为计划任务，从而使系统反复受到感染。

该恶意软件会采取反分析措施。它经过打包处理，并会检查显卡和视频内存以识别虚拟机——即安全研究人员使用的隔离测试系统。Huntress表示，其分析工作使用了Claude Opus 4.8，这是近期发布的Claude Opus 5的前身。

这一伎俩并非新鲜事

早在 5 月，一个伪造的 Claude 网站就已经通过 Google 广告推送了一款 Windows 后门程序。 此外，据 Huntress 称，4 月份，同一攻击者曾利用 Docker Hub 传播一个基于完全相同篡改库构建的伪 Docker Desktop 安装程序。这也解释了为何本月发布的恶意软件包中仍存在一个名为 DockerDesktop.exe 的文件。

从中可以得到什么启示

地址栏的可靠性远低于大多数人的想象。一旦平台在其自有域名下提供用户生成内容——而 claude.ai、Google Docs 和 GitHub 均属此类——域名本身并不能说明您将获得什么内容。 因此，软件不应通过搜索广告进入您的设备。Anthropic 在 claude.com/download 提供 Claude 应用的下载，其他程序也应从开发者自己的网站获取——无论是直接输入网址还是将其保存为书签。赞助结果之所以出现在顶部，是因为有人为此付费，而非经过任何审核。

如果仍有软件意外进入，第二道防线就显得尤为重要。像 SectopRAT 这样的信息窃取器会直接瞄准你浏览器中保存的凭据。我们已经撰文介绍了如何保护你的账户安全，以确保仅凭被盗密码是无法造成危害的。