Push Security, ein Unternehmen für Bedrohungserkennung und -abwehr im Browser, ordnet InstallFix als Weiterentwicklung der bekannten ClickFix-Technik ein. Die Angreifer setzen dabei auf geklonte Seiten populärer CLI-Werkzeuge, über die sie manipulierte Installationsbefehle ausspielen.
Verbreitet werden die Seiten über Malvertising-Kampagnen mit Google Ads: Bei Suchanfragen wie “Claude Code install” oder “Claude Code CLI” tauchen schädliche Anzeigen in den Ergebnissen auf. BleepingComputer konnte bestätigen, dass die bösartigen Webseiten weiterhin über gesponserte Google-Suchergebnisse beworben werden. Bei der Suche nach “install claude code” war das erste Resultat eine Squarespace-Adresse (claude-code-cmd.squarespace[.]com), die auf einen exakten Klon der offiziellen Claude-Code-Dokumentation führte.
Die bei InstallFix verwendeten Befehle enthalten codierte Anweisungen, um eine Binärdatei von einer durch die Angreifer kontrollierten Domain herunterzuladen und auszuführen. Der Befehl startet ‘mshta.exe’, um schädliche Inhalte abzurufen, und stößt weitere Prozesse wie ‘conhost.exe’ an, die die Ausführung der finalen Schadsoftware unterstützen — den Infostealer Amatera.
Amatera ist eine vergleichsweise neue Schadsoftware-Familie, die mutmaßlich auf ACR Stealer basiert und als Abodienst (Malware-as-a-Service) an Kriminelle verkauft wird. Sie wurde kürzlich in separaten ClickFix-Angriffen beobachtet, die Windows-App-V-Skripte zur Auslieferung der Schadsoftware missbrauchten. Amatera kann in Webbrowsern gespeicherte Passwörter, Cookies und Session-Tokens stehlen sowie Systeminformationen sammeln und entzieht sich dabei der Erkennung durch Sicherheitswerkzeuge.
Nach Angaben von Push Security sind die Angriffe besonders schwer zu erkennen, auch weil die bösartigen Seiten auf legitimen Plattformen wie Cloudflare Pages, Squarespace und Tencent EdgeOne gehostet werden.
Wer Claude Code installieren will, sollte die Installationsanweisungen ausschließlich von offiziellen Webseiten beziehen, beworbene Google-Suchergebnisse blockieren oder überspringen und Download-Portale für häufig benötigte Werkzeuge als Lesezeichen speichern.