La campagna InstallFix clona Claude Code e diffonde malware senza exploit

Il 6 maggio 2026 è emersa una campagna di malvertising che impersona Claude Code, strumento da riga di comando non ufficiale legato all'ecosistema Anthropic. Gli attaccanti hanno comprato spazi su Google Ads, reindirizzato gli utenti verso pagine di documentazione clonate su Squarespace e li indotti a copiare comandi di installazione malevoli: su Windows una catena che abusa mshta.exe, su macOS uno script offuscato in base64. L'infezione non richiede alcun flaw software, ma solo l'ingegneria sociale della tecnica ClickFix — o InstallFix, nel naming di PushSecurity.

Come funziona il meccanismo InstallFix

PushSecurity ha coniato il termine InstallFix per descrivere questa evoluzione della tecnica ClickFix: invece di una pagina generica con finto CAPTCHA, gli attaccanti clonano pixel-per-pixel le pagine di installazione di strumenti CLI legittimi. L'unica differenza significativa risiede nell'URL nel comando one-liner. Secondo PushSecurity, "the page is a near-pixel-perfect replica of the real thing. The only meaningful difference is in the installation commands themselves".

La scelta di Claude Code non è casuale. Il briefing redazionale documenta che 4 utenti su 5 che interagiscono con lure ClickFix arrivano dai motori di ricerca. Un utente che cerca "installa Claude Code" trova l'annuncio sponsorizzato, clicca, vede una documentazione plausibile e copia il comando proposto. Dopo l'esecuzione, qualsiasi interazione successiva sulla pagina reindirizza al sito legittimo, abbassando i sospetti.

Bitdefender Labs descrive la stessa dinamica con precisione tecnica: "What makes this dangerous is that the attackers never exploit a software flaw. The entire infection relies on the victim's willingness to follow instructions and fall for the ClickFix social engineering tactic". La campagna dimostra che la superficie di attacco si è spostata dal software all'operatore.

La catena d'attacco su Windows: mshta.exe e stager MSIL

Su Windows gli utenti ricevevano un comando PowerShell che abusa mshta.exe, utility Microsoft legittima per l'esecuzione di HTML Applications. Il file HTA remoto avvia uno stager MSIL che carica shellcode finale. L'intera catena è memory-resident: nessun payload scritto permanentemente su disco nelle fasi iniziali, riducendo la visibilità per gli EDR.

Le firme di rilevamento documentate da Bitdefender identificano payload multipli nella stessa campagna: Trojan.Stealer.GJ, Trojan.Stealer.GK, IL:Trojan.MSILZilla.245316, Gen:Variant.Barys.509034. La varietà di detection suggerisce componenti modulari o più famiglie di stealer distribuite in parallelo, ma il dossier non chiarisce se si tratti di un unico toolkit polimorfico o di payload distinti.

Gli hash SHA256 documentati per i campioni Windows/macOS della campagna Bitdefender sono: 79cd21185c51a5bfe2cfebdc51e14b258d91549fc0e4e09b6939c2a8a1c5ac19, 3b4d3a59024f14cf1f07395afd6957be05d125e00ae8fdcea3a5dee1d8ab9dd3, eb4d9a0e4c483dc29ae8c4d31fafcd583c457923d3344745b5c7ab13abed4dc5, 505b32ac2b6fffb5fac81d5bdc2e1e8581fc4196dfb01aee852216a3ad6ff47e, 762fb099115d1917b6f673cc5c74a4b61962a64d640673aaf02566ca6a3dbfa4, a78e487995ab452c5990b4baff6a4fa485ae2798c2ddd13718c17eb641f11646.

Il versante macOS: backdoor Mach-O con anti-analisi

La variante per macOS segue un percorso diverso ma altrettanto lineare. Il comando copiato dall'utente è un echo con payload base64 che, decodificato con base64 -D e pipato a zsh, scarica uno script loader. Questo deposita un binario Mach-O in /tmp/helper, rimuove gli attributi estesi con xattr -c, imposta i permessi di esecuzione e lo lancia.

Il binario finale è una backdoor in grado di spawnare /bin/bash o /bin/zsh per l'esecuzione remota di comandi. Bitdefender rileva che il malware esegue check anti-sandbox e anti-VM "similar to AMOS stealer", ma il dossier non conferma che il payload sia effettivamente AMOS. PushSecurity, analizzando un campione correlato, identifica invece corrispondenza con le firme Yara per Amatera Stealer, con server di comando e controllo su claude[.]update-version[.]com. La relazione tra AMOS e Amatera Stealer non è chiarita dalle fonti: possibile che si tratti dello stesso malware con denominazioni diverse, o di famiglie correlate.

Il meccanismo di persistenza sfrutta il global constructor mod_init_func per l'esecuzione automatica al caricamento, tecnica che non richiede launchctl né job plist visibili.

Le infrastrutture e il contesto delle campagne correlate

Il sito clone era ospitato su un sottodominio Squarespace, come documenta Bitdefender: "The fake documentation page was hosted on a Squarespace subdomain". La scelta della piattaforma non è neutra: permette di combinare un dominio hosting reputato con contenuto controllato indipendentemente dall'attaccante. Una campagna parallela documentata da SCWorld su Codex, che sfrutta lo stesso TTP ClickFix, descrive esplicitamente questo pattern: "This separation lets the attacker combine a trusted hosting domain with independently controlled ClickFix content".

SCWorld corrobora inoltre che le infrastrutture usate nella campagna Codex sono state riutilizzate anche per campagne Claude Code-themed, rafforzando la convergenza tra i due filoni. Questo riuso non implica una stessa unità operativa, ma documenta un'economia di scala nella gestione degli asset di attacco.

L'account advertiser utilizzato per i Google Ads è associato a una società reale malese. Bitdefender ritiene probabile che gli attaccanti abbiano compromesso l'account legittimo piuttosto che crearlo ex novo. Google ha disattivato l'account successivamente alla segnalazione.

"4 in 5 ClickFix lures we intercept are accessed from search engines" — PushSecurity

Perché è importante

La campagna documenta un punto di non ritorno nella relazione tra sviluppatori e sicurezza. La pratica di copiare comandi curl | bash da siti web, normalizzata da anni nell'ecosistema open-source, è diventata un vettore di attacco a sé stante. Gli attaccanti non devono più convincere l'utente a eseguire qualcosa di anomalo: devono solo offrirgli esattamente ciò che si aspetta, con un comando leggermente diverso che nessuno verifica.

L'adozione di strumenti AI espone utenti meno tecnici a flussi di installazione da sviluppatori, ampliando la superficie di attacco. Il meccanismo InstallFix non richiede exploit, zero-day né competenze di reverse engineering avanzate: ingegneria sociale, clonaggio web e hosting su piattaforme legitimate bastono a rendere l'attacco scalabile e a basso costo.

Il brief non documenta misure correttive specifiche indicate dalle fonti primarie. Non emergono raccomandazioni operative esplicite da parte di Bitdefender o PushSecurity nel materiale analizzato. Il dossier non specifica inoltre la natura dei dati esfiltrati dai payload Windows, né lo stato attuale delle infrastrutture di comando e controllo.

Restano da verificare: la data esatta di inizio campagna (PushSecurity cita un aggiornamento al "16 marzo" senza specificare l'anno); il numero reale di vittime; se esistano varianti oltre a quelle documentate; e l'eventuale correlazione definitiva tra AMOS e Amatera Stealer.

FAQ

Fonti

• https://www.techedubyte.com/fake-claude-code-malware-windows-macos/
• https://stage.bitdefender.com/en-gb/blog/labs/fake-claude-code-google-ads-malware
• https://www.scworld.com/news/codex-clickfix-installation-lure-spreads-suspected-amos-infostealer
• https://pushsecurity.com/blog/installfix/
• https://www.bitdefender.com/en-gb/blog/businessinsights/how-clickfix-cyberattack-technique-works?srsltid=AfmBOooOGUTc1_PsvutjVR__O9fBBVixrY6KwkNDuhoQPdqdrhNvDoIJ

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti