El falso sitio web Claude AI está difundiendo una puerta trasera de Windows a través de los resultados de búsqueda de Google

Un sitio web falso de Claude AI está difundiendo una nueva puerta trasera de Windows a través de los resultados de búsqueda patrocinados de Google. El dominio malicioso, claude-pro[.]com, se disfraza de la interfaz real de Claude y ofrece una herramienta falsa llamada Claude-Pro Relay. Sophos X-Ops ha publicado hoy su análisis completo de la campaña. Malwarebytes la encontró primero.

La campaña está dirigida a los desarrolladores. El sitio vende Claude-Pro Relay como un "servicio de retransmisión de alto rendimiento diseñado específicamente para desarrolladores de Claude Code" Lo único que se puede hacer realmente en la página es hacer clic en un botón de descarga. Eso extrae un archivo ZIP de 505 MB llamado Claude-Pro-windows-x64.zip, que contiene un instalador MSI. El instalador deja caer tres archivos en la carpeta de inicio de Windows: un actualizador antivirus legítimo y firmado de G Data renombrado NOVupdate.exe, un archivo de datos cifrado y una DLL maliciosa llamada avk.dll. Se instala en C:Program Files (x86)AnthropicClaudeCluade - nótese el error ortográfico - pero nadie comprueba la ruta de instalación.

Cómo funciona la cadena de infección

El binario firmado de G Data se utiliza para cargar lateralmente avk.dll. Ese es el núcleo de la técnica: tomar prestada la confianza de una herramienta de seguridad legítima para burlar las defensas. La DLL descifra la carga útil cifrada con una clave XOR invertida, se la entrega a DonutLoader y éste deja caer la puerta trasera Beagle en el sistema.

Beagle telefonea a licence[.]claude-pro[.]com al puerto TCP 443 o al puerto UDP 8080. El tráfico está cifrado con una clave AES codificada, por lo que parece un HTTPS normal para cualquiera que vigile el cable. La puerta trasera ejecuta ocho comandos: ejecución de shell, transferencia de archivos, listado de directorios y autoeliminación. Eso es suficiente para un acceso remoto completo. No tiene nada que ver con el viejo gusano Beagle basado en Delphi de 2004 - nombre diferente, bestia completamente distinta.

Sophos entró esperando PlugX. La configuración sideloading - binario G Data, avk.dll, carga útil cifrada con XOR - es la misma cadena que Lab52 documentó en febrero de 2026 en una campaña PlugX que utilizaba invitaciones falsas a reuniones. La carga útil resultó diferente. Sophos cree ahora que el atacante retocó una cadena conocida o tomó la técnica de otro grupo completamente distinto.

Los operadores no se han quedado quietos. Malwarebytes los rastreó cambiando de proveedores de correo masivo de Kingmailer a CampaignLark en abril de 2026, rotando la infraestructura para adelantarse a las listas de bloqueo. El propio servidor de alojamiento se puso en marcha en marzo de 2026, lo que sitúa el inicio de la campaña unas seis semanas antes de la revelación pública de hoy.

Un patrón de ataques con marcas de IA

Esta es la tercera vez en aproximadamente un año que los atacantes han utilizado la marca de herramientas de IA para ejecutar una campaña de sideloading de DLL de https://www.malwarebytes.com/blog/scams/2026/04/fake-claude-site-installs-malware-that-gives-attackers-access-to-your-computer. Bitdefender detectó páginas falsas de Claude Code ejecutándose a través de anuncios de Google en marzo de 2026, utilizando ClickFix para engañar a los desarrolladores para que pegaran comandos de terminal maliciosos. Antes de eso, páginas falsas del instalador DeepSeek ejecutaron la misma cadena de sideloading a principios de 2025. La marca de la IA cambia para coincidir con lo que es tendencia en las búsquedas. El método de infección no.

La campaña se ejecuta a través de resultados de búsqueda patrocinados, lo que significa que el sitio falso se sitúa por encima del listado real de Claude para cualquiera que busque y haga clic sin comprobar el dominio. Claude sólo está disponible en claude.com. Anthropic no ha lanzado nada llamado Claude-Pro Relay. Sophos afirma que encontrar NOVupdate.exe o avk.dll en la carpeta de inicio de Windows es una señal fiable de que la máquina está comprometida.

Notebookcheck cubrió anteriormente otro incidente en el que un Agente de codificación de IA que se ejecutaba dentro de Cursor borró de forma autónoma toda la base de datos de producción de una startup y todas las copias de seguridad sin la confirmación del usuario, lo que pone de relieve los crecientes riesgos de desplegar herramientas de IA sin las salvaguardas adecuadas