Claude Code偽サイト確認、開発者情報窃取の恐れ

Claude Codeのインストールページを装った情報窃取の試み

攻撃者が、人気の開発ツールであるClaude Codeのインストールページを装い、情報窃取型マルウェアを配布していることが確認された。主な目的は、パスワードやクッキー、セッションデータ、開発者の環境設定などの機密情報を窃取することにある。

ユーザーがページ上で提示される「ワンライナー」のインストールコマンドをターミナルで実行すると、端末が遠隔操作ツールとして悪用される恐れがある。調査によると、攻撃者はコマンド内の接続先URLのみを改ざんすることで、偽のインストールページを正規サイトのように見せかけているという。

非専門家を狙う「InstallFix」攻撃

ユーザーが検索エンジンで「Claude Code インストール」などと検索すると、広告として表示された偽サイトへ誘導されるケースが確認されている。このページは正規のインストールページに似せて作られており、見慣れたロゴや文言によってユーザーを信用させる仕組みだ。

しかし、提示されたインストールコマンドをターミナルで実行すると、攻撃者が仕込んだマルウェアがシステムに侵入する可能性がある。この「InstallFix」と呼ばれる手口は、AIツールや開発ツールに不慣れなユーザーを主な標的としており、実際の攻撃ではAmateraと呼ばれる情報窃取型マルウェアが使用されていると報告されている。

さまざまなプラットフォームを狙う攻撃キャンペーン

このキャンペーンはWindowsおよびmacOSのユーザーを対象としている。macOSでは、base64で難読化された悪意のあるスクリプトが追加のマルウェアをダウンロードして実行する仕組みが確認されている。一方、Windowsでは正規のMicrosoftバイナリを悪用し、攻撃の痕跡を目立たなくする手法が用いられている。

こうした挙動はユーザーの画面上では判別が難しく、正規のインストール処理として誤認される可能性がある。

偽のインストールページを避けるために

InstallFixのような手口が広がる中、利用者には、ウェブ上で案内されるコマンドを実行する前に、その出所や内容を十分に確認する姿勢が求められる。特に、コピー＆ペーストでコマンドをそのまま実行する行為はリスクが高く、提供元の正当性を慎重に見極める必要がある。

また、最新のセキュリティ製品やリアルタイム保護機能を有効にしておくことも有効な対策となる。Malwarebytesのようなセキュリティ拡張機能を利用し、クリップボード経由で危険なコマンドが混入しないよう防ぐ方法も一つの手段とされる。