脅威アクターは、Webサイトからインストールコマンドを直接コピーするという開発者に広く見られる習慣を悪用し、偽のソフトウェアインストールページを通じてマルウェアを拡散している。
セキュリティ研究者のPush Securityはこのほど、人気のコマンドラインAIコーディングアシスタントであるAnthropicのClaude Codeのユーザーを標的とするキャンペーンを発見した。
攻撃者はクローンサイトや悪意ある検索広告を使い、WindowsやmacOSのシステムに情報窃取マルウェアをインストールするよう被害者を誘導している。
「攻撃者は、悪意ある検索エンジン広告を通じて、Claude Codeのような人気の開発者向けツールのクローンサイトをほぼ同一の形で配布し、偽のインストール手順を提示している。その結果、被害者はだまされて本来のソフトウェアではなく情報窃取マルウェアをインストールしてしまう」と述べた研究者ら。
InstallFixマルウェアキャンペーンの実態
このキャンペーンは、開発者向けツールのインストールに単純なターミナルコマンドが広く使われていることに伴う、増大するセキュリティリスクを浮き彫りにしている。
現代の多くのユーティリティは、1行のインストールコマンドに依存している。多くの場合、「curlからbashへ」方式が使われ、リモートサーバーからスクリプトを自動的にダウンロードして実行する。
この方法はインストールを迅速かつ便利にする一方、スクリプトをホスティングするソースを大きく信頼することにもなる。
コマンドが悪意あるサーバーを指していれば、ユーザーは気付かないまま有害なコードを自分のシステム上で直接実行してしまう可能性がある。
Push Securityがこのキャンペーンについて行った調査によると、攻撃者は正規のインストールページをクローンし、ユーザーに提示するコマンドを書き換えることで、このワークフローを悪用している。
クローンサイトは人気ツールの公式ドキュメントページを精巧に再現しているが、インストール手順は、意図したソフトウェアではなくマルウェアを取得するよう変更されている。
このリスクは、Claude CodeのようなAI搭載開発者向けツールが急速に普及していることで、さらに増幅されている。
AIコーディングツールが経験豊富な開発者から、より幅広い、技術に詳しくないユーザー層へと広がるにつれて、ソースを慎重に確認したり、実行するコマンドを検証したりせずにインストール手順に従う人が増える可能性がある。
InstallFix攻撃の仕組み
InstallFix攻撃は、単純だが効果的なソーシャルエンジニアリングの手法に依存している。
従来型のフィッシング誘導や偽のエラーメッセージに頼るのではなく、攻撃者は人気ツールの公式インストールページになりすますだけだ。
クローンサイトは、ブランド表示、レイアウト、ドキュメントのナビゲーション、サンプルコマンドまで含め、正規ページをほぼ完全に模倣していることが多い。一般的なユーザーには、そのページが本物に見える。
意味のある唯一の違いは、インストールコマンドそのものにある。
正規のClaude Codeドメインから正規のインストールスクリプトをダウンロードする代わりに、悪意あるコマンドは攻撃者が管理するサーバーからペイロードを取得する。
ユーザーが多くのインストールガイドの指示どおりにコマンドをターミナルへコピー＆ペーストすると、マルウェアはシステム上ですぐに実行される。
Claude Codeマルウェアペイロードの内部
Claude Codeを標的としたキャンペーンで、研究者はcmd.exeを通じてマルウェアが起動し、その後mshta.exeがリモートの悪意あるドメインから追加スクリプトを取得して実行することを確認した。
この段階的な実行プロセスにより、攻撃者は追加のペイロードをダウンロードし、被害者のマシン上で永続化を確立できる。
マルウェア拡散に使われる検索広告
被害者を偽のインストールページへ誘導するため、攻撃者はマルバタイジングキャンペーンに大きく依存している。
「Claude Code install」「Claude Code CLI」などのフレーズや関連する検索語をユーザーが検索すると、スポンサー付き検索結果が表示される。
スポンサー付きリンクは正規の検索結果より上に表示されることが多いため、ユーザーはURLを詳しく確認せずにクリックしてしまう可能性がある。
検索エンジンは広告プレビューでドメインの一部を省略したり隠したりすることがあり、悪意あるドメインをより正規のものらしく見せてしまうため、この攻撃は特に効果的だ。
マルバタイジングは、従来型のセキュリティ対策の多くも回避する。被害者は不審なメールのリンクを受け取るのではなく、インストールしたいツールを検索するだけで、知らないうちに攻撃者のページへ誘導される。
研究者は、このキャンペーンで使われたペイロードが、Amatera Stealerに関連するシグネチャと一致すると判断した。Amatera Stealerは、2025年に公に確認された比較的新しい情報窃取マルウェアファミリーだ。
Amateraは、ブラウザーに保存された認証情報、セッションCookie、認証トークン、その他のシステム情報など、感染したシステムから機密データを収集するよう設計されている。
このマルウェアは、動的なAPI解決や、正規のコンテンツ配信ネットワーク（CDN）インフラを経由したコマンド＆コントロール通信などの回避技術を使い、セキュリティ防御をくぐり抜ける。
通信が正規サービスに紛れ込むため、通常の業務を妨げずにブロックするのは難しい場合がある。
信頼されたインフラに潜むマルウェアキャンペーン
このキャンペーンのもう1つの注目すべき点は、悪意あるページの配信に正規のホスティングプラットフォームを使っていることだ。
研究者は、Cloudflare Pages、Squarespace、Tencent EdgeOneなどのサービス上でホスティングされたクローンのインストールサイトを確認した。
攻撃者は、評判の良いインフラプロバイダーを利用することで、通常のWebトラフィックのパターンに活動を紛れ込ませ、悪意あるページがすぐに検知されたり削除されたりする可能性を下げられる。
InstallFix攻撃のリスクを低減する
InstallFix型攻撃は、Webサイトからインストールコマンドをコピーするなど、開発者に一般的なワークフローを悪用する。そのため、防御では悪意あるダウンロードの防止と、不審なコマンドライン活動の検知の両方に注力する必要がある。
- 開発者向けツールをダウンロードする際は、スポンサー付き検索結果をクリックせず、その代わりに公式ベンダーのドキュメントからインストール手順へ直接アクセスする。
- ターミナルで実行する前にURLとインストールコマンドを確認し、特にcurl | bashのようにリモートスクリプトをダウンロードして実行するパターンには注意する。
- DNSフィルタリング、セキュアWebゲートウェイ、ドメインレピュテーション制御を導入し、マルバタイジングキャンペーンで使われる新規登録ドメインや不審なドメインへのアクセスをブロックする。
- エンドポイント検知・対応（EDR）ツールを導入し、段階的なマルウェア感染に関連するコマンドライン活動、スクリプト実行、不審なプロセスチェーンを監視する。
- 信頼できるリポジトリの許可リスト登録を徹底し、インストールが検証済みのソースから行われるよう、よく使う開発者向けツールの内部ミラーをホスティングすることも検討する。
- 最小権限ポリシーを適用し、管理者アクセスを制限して、開発者のワークステーション上で悪意あるインストールスクリプトが及ぼす影響を抑える。
- 定期的にテストしインシデント対応計画を、さらに攻撃シミュレーションツールを使って、ソフトウェアサプライチェーンの悪用シナリオに備える。
これらの対策を組み合わせることで、組織は開発者を標的とするマルウェアキャンペーンへの耐性を高め、悪意あるインストールコマンドが実行された場合の潜在的な被害範囲を抑えられる。
攻撃者が開発者のワークフローを標的に
このキャンペーンは、攻撃者がマルウェアを大規模に拡散するため、信頼された開発者ワークフローや急速に拡大するAIエコシステムをますます標的にしていることを浮き彫りにしている。
Claude Codeのようなツールがより幅広いユーザーベースを獲得する中、敵対者がソースを改ざんすれば、Webページからインストールコマンドをコピーするという単純な行為が、強力な攻撃経路になり得る。
信頼されたワークフローや開発者向けツールを悪用する攻撃が増加する中、組織はゼロトラストソリューションを導入し、暗黙の信頼を減らして単一の侵害行為による影響を抑えている。