Die Malware-Kampagne zeigt eine mehrstufige Infektionskette mit bemerkenswert hohem technischen Aufwand. Das trojanisierte Claude-Pro-Installer-Paket sieht auf den ersten Blick legitim aus, führt sein eigentliches Programm wie erwartet aus, installiert aber parallel die Beagle-Backdoor im Hintergrund. Dabei werden drei verdächtige Dateien in den Windows-Startup-Ordner abgelegt: NOVupdate.exe, NOVupdate.exe.dat und avk.dll.
Besonders tückisch ist die verwendete Sideloading-Technik: Die Angreifer missbrauchen NOVupdate.exe, ein signiertes Update-Dienstprogramm von G Data, um die schädliche avk.dll zu laden. Diese DLL entschlüsselt dann eine verschlüsselte Payload und lädt den DonutLoader — einen Open-Source-Speicher-Injector — aus, der wiederum die finale Beagle-Backdoor in den RAM injiziert. Diese mehrstufige Verschleierung ist speziell darauf ausgerichtet, traditionelle Sicherheitslösungen zu umgehen.
Die Beagle-Backdoor selbst ist relativ einfach ausgestattet, funktioniert aber als vollständiger Remote-Access-Trojaner. Sie kommuniziert mit den Kommando-und-Kontroll-Servern über die gefälschte Domain „license.claude-pro.com” (gehostet auf der Alibaba-Cloud-IP 8.217.190.58) sowohl über TCP Port 443 als auch UDP Port 8080. Der Datenaustausch wird durch einen hartcodierten AES-Schlüssel verschlüsselt.
Sophos-Forscher entdeckten weitere Varianten der Beagle-Malware, die über alternative Attack-Chains verbreitet wurden — teilweise getarnt als Updates von bekannten Sicherheitsanbietern wie CrowdStrike, SentinelOne und Trellix. Dies deutet auf eine organisierte Kampagne hin. Malwarebytes und Sophos vermuten, dass dieselben Akteure hinter der bekannten PlugX-Malware möglicherweise mit dieser neuen Backdoor experimentieren.
Für Nutzer und Unternehmen empfehlen die Forscher, Claude ausschließlich von der offiziellen Website claude.ai herunterzuladen. Das BSI rät generell, Suchergebnisse mit Werbeanzeigen zu ignorieren, da diese besonders anfällig für Phishing sind. Die bloße Existenz von NOVupdate-Dateien auf einem System ist ein starkes Kompromittierungsindiz und sollte sofort untersucht werden.