Aplicación falsa «Claude»: el anuncio de Bing redirigía al sitio web real de Anthropic

Cualquier persona que haya buscado la aplicación de escritorio Claude en Bing durante los últimos días podría haber descargado malware sin cometer ni un solo error evidente. El anuncio de pago que aparecía en la parte superior redirigía a claude.ai, la dirección real de Anthropic. La trampa estaba ahí mismo.

La empresa de seguridad Huntress publicó el caso el 22 de julio. Al menos 29 organizaciones se vieron afectadas entre el 21 y el 22 de julio. Huntress denomina a la campaña «FakeAgent».

La página falsa se alojaba en el propio dominio de Anthropic

Una función denominada «Artifacts» lo hizo posible. Claude la utiliza para mostrar código, documentos o páginas web completas en un panel situado junto al chat. Los «Artifacts» pueden compartirse públicamente, y cualquiera puede abrirlos sin necesidad de tener una cuenta. Los atacantes crearon de ese modo una copia funcional de la página de descarga oficial y, a continuación, compraron un anuncio patrocinado en Bing que redirigía a ella.

La única pista era una breve frase en la esquina superior izquierda: «El contenido ha sido generado por los usuarios y no ha sido verificado». Cualquiera que mirara la barra de direcciones veía «claude.ai» y hacía clic. La página acumuló 7.100 visitas antes de que Anthropic la retirara, tras la denuncia de Huntress.

El botón de descarga conducía, al fin y al cabo, fuera del sitio web, primero a claude.ai.download-app[.]us y, desde allí, a downloading-api.it[.]com. El truco reside en cómo está construida la dirección. En este caso, claude.ai es solo un subdominio situado delante del dominio real, download-app.us, que se registró el 9 de mayo.

Un archivo real que contiene código de terceros

El archivo ClaudeDesktop.exe que se instala en el disco no es en absoluto el software de Claude. Se trata de un componente auténtico y firmado de JetBrains que permite la carga lateral de DLL. DLL son las siglas de «Dynamic Link Library» (biblioteca de enlace dinámico), una biblioteca de programas que una aplicación carga al iniciarse. En un ataque de carga lateral, el atacante coloca una copia manipulada de dicha biblioteca junto al programa legítimo. El programa la carga sin sospechar nada, y el código malicioso se ejecuta bajo la apariencia del archivo firmado.

Al final de la cadena se encuentra SectopRAT, un troyano de acceso remoto que lleva en circulación desde 2019. Este troyano captura contraseñas, datos de tarjetas de crédito, archivos, datos de inicio de sesión y cookies del navegador, credenciales FTP, datos de Discord y Telegram, así como cuentas de Steam y VPN. Para garantizar un acceso duradero, la campaña también instala un archivo denominado DockerDesktop.exe y lo registra como una tarea programada, lo que reinfecta el equipo una y otra vez.

El malware se defiende contra los análisis. Está empaquetado y comprueba la tarjeta gráfica y la memoria de vídeo para detectar máquinas virtuales, los sistemas de prueba aislados que utilizan los investigadores de seguridad. Huntress afirma que utilizó Claude Opus 4.8 para su propio análisis, el predecesor del recientemente lanzado Claude Opus 5.

El truco no es nuevo

Ya en mayo, una página web falsa de Claude estaba difundiendo una puerta trasera para Windows a través de anuncios de Google. Y en abril, según Huntress, el mismo autor utilizó Docker Hub para propagar un instalador falso de Docker Desktop creado a partir de exactamente la misma biblioteca manipulada. Esto también explica por qué un archivo llamado DockerDesktop.exe seguía presente en el paquete de este mes.

Qué puede deducirse de todo esto

La barra de direcciones no es tan fiable como la mayoría de la gente supone. Cuando una plataforma ofrece contenido generado por los usuarios bajo su propio dominio —y tanto claude.ai como Google Docs y GitHub lo hacen—, el nombre de dominio no dice nada sobre lo que realmente se obtiene. Por lo tanto, el software no debería llegar a su equipo a través de un anuncio de búsqueda. Anthropic distribuye las aplicaciones de Claude en claude.com/download, y los demás programas deben descargarse desde el sitio web del propio fabricante, al que se accede escribiendo la dirección directamente o guardándola como marcador. Los resultados patrocinados aparecen en los primeros puestos porque alguien ha pagado por ellos, no porque nadie los haya comprobado.

Si, a pesar de todo, algo se cuela, lo que importa es la segunda línea de defensa. Un programa de robo de información como SectopRAT va directamente a por las credenciales guardadas en su navegador. Hemos explicado cómo proteger sus cuentas para que una contraseña robada por sí sola no sea suficiente.