Push Security ordnet InstallFix als Weiterentwicklung der ClickFix-Masche ein. Statt Opfer zum manuellen Ausführen von Befehlen zu bewegen, setzen die Angreifer hier auf vollständig nachgebaute Installationsseiten bekannter Entwickler-Tools. Über Malvertising werden Nutzer auf diese legitim wirkenden, aber bösartigen Seiten geleitet.
Im Fall von Claude Code laufen die Werbeanzeigen ausschließlich über Google Ads. Die gesponserten Suchergebnisse erhöhen die Sichtbarkeit der geklonten Seite, die optisch kaum vom Original zu unterscheiden ist. Der entscheidende Unterschied steckt allein im einzeiligen Installationsbefehl: Er verweist auf einen Server der Angreifer und lädt einen Infostealer herunter, statt das echte Claude-Code-Skript abzurufen. Solange niemand die im Befehl enthaltene URL genau lese, sei die Fälschung praktisch perfekt, betont Push Security.
Wird die Ausführungskette ausgelöst, startet cmd.exe den Prozess mshta.exe, der Code von einem entfernten Server nachlädt und ausführt. Das Ergebnis ist eine Infektion mit dem Amatera Stealer. Nach Angaben des Unternehmens führten verschiedene Seiten identische Programmdateien aus — ein Hinweis darauf, dass es sich um eine einzige, zusammenhängende Angriffskampagne handelt.
Um im normalen Web-Verkehr unterzutauchen, missbrauchen die Täter laut Push Security legitime Dienste und Domains wie Cloudflare Pages, Squarespace und Tencent EdgeOne zum Hosten der schädlichen Inhalte. Beobachtet wurde zudem, dass bösartige Terminalbefehle auf öffentlichen Seiten von claude.ai abgelegt wurden, der Cuckoo-Infostealer über Klone der Homebrew-Website verbreitet wurde, gefälschte OpenClaw-Installer in GitHub-Repositorys lagen und Schadsoftware über NPM-Pakete verteilt wurde, die Claude Code nachahmen.
Push Security weist darauf hin, dass das Problem nicht auf Claude beschränkt sei: Jedes Tool und jede Seite, die genügend Klicks verspreche und sich leicht klonen lasse, sei ein potenzielles Ziel für Malvertising und Markenmissbrauch.