{
  "$type": "site.standard.document",
  "bskyPostRef": {
    "cid": "bafyreihizmywj32qmjqfj6zja4vs4si5gnbz7gh5svwsrfhmxibm6vdzlq",
    "uri": "at://did:plc:ulfbtqn2ybcgbzf27z75qrvu/app.bsky.feed.post/3mgnrxbm3cgg2"
  },
  "coverImage": {
    "$type": "blob",
    "ref": {
      "$link": "bafkreihu7om5u2zi7hojkhefgve45z4lvu4zfpnk67crgsmvl6b6f2u6ni"
    },
    "mimeType": "image/png",
    "size": 337340
  },
  "path": "/seguranca/411433-criminosos-usam-falso-claude-code-para-distribuir-virus-no-google.htm",
  "publishedAt": "2026-03-09T20:20:00.000Z",
  "site": "https://www.tecmundo.com.br",
  "tags": [
    "Segurança"
  ],
  "textContent": "Uma nova técnica de ataque está sendo **usada para comprometer desenvolvedores e usuários de ferramentas de inteligência artificial** , explorando um hábito que se tornou padrão no mercado de software: **copiar e colar**.\n\nO alerta foi publicado pela empresa de cibersegurança Push Security, que batizou **a técnica de InstallFix e identificou uma campanha ativa mirando o Claude Code** , assistente de programação da Anthropic.\n\n## Hábito que virou vulnerabilidade\n\nPara entender o ataque, é preciso entender primeiro o que é o chamado **comando** _**curl**_**para bash**. Quando alguém quer instalar uma ferramenta moderna de linha de comando, como o Homebrew, o Rust ou o Claude Code, a instrução recomendada pelos próprios criadores geralmente fica assim: “curl https://algum-site.com/instalar | bash”.\n\nO _curl_ é uma ferramenta que busca conteúdo da internet. O símbolo “|” chamado de pipe pega esse conteúdo baixado e passa diretamente para o bash, o interpretador de comandos do sistema operacional, que o executa imediatamente.\n\nNa prática, a vítima está baixando um script de um servidor remoto e rodando tudo o que está nele sem ver uma linha sequer do que será executado.\n\nDurante anos, esse tipo de comando era tratado com desconfiança por profissionais de segurança. Com o tempo, virou padrão. Hoje, centenas das ferramentas mais usadas do mundo ensinam esse método como a forma recomendada de instalação, e o modelo de segurança inteiro se resume a confiar que o site de onde o script vem é legítimo.\n\n## Engenharia social sem pretexto fabricado\n\nO InstallFix pertence a uma família de ataques conhecida como ClickFix, **que consiste em convencer a vítima a copiar e executar um comando malicioso no próprio terminal**.\n\nAtaques ClickFix tradicionais precisam construir um pretexto para isso, como uma mensagem de erro falsa pedindo que a vítima corrija o problema rodando um comando, um CAPTCHA inventado ou uma janela simulando uma tela do sistema operacional.\n\nO **InstallFix não precisa de nada disso, porque a vítima já chegou ao site querendo instalar alguma coisa**. Ela já está motivada, já abriu o terminal e já está esperando por um comando para copiar. O contexto da própria instalação é o pretexto.\n\n## A clonagem da página\n\nNa campanha identificada pela Push Security, os atacantes clonaram a página de instalação oficial do Claude Code, o assistente de programação baseado em IA da Anthropic que cresceu rapidamente em popularidade tanto entre desenvolvedores experientes quanto entre quem está começando a programar agora.\n\nA **cópia reproduz fielmente o layout, a identidade visual e toda a documentação da página original**. A única diferença está no próprio comando de instalação, que em vez de apontar para os servidores da Anthropic aponta para um servidor controlado pelos atacantes.\n\nPara quem não tem o hábito de **ler com atenção a URL embutida dentro do comando** , a página é indistinguível da real.\n\nPara fechar o cerco, **qualquer outra interação com a página falsa redireciona a vítima automaticamente para o site legítimo**. Isso significa que a vítima pode copiar o comando malicioso, executá-lo e continuar navegando normalmente na documentação oficial sem perceber que nada de errado aconteceu.\n\n## Como a vítima chega até a página falsa\n\nA distribuição das páginas clonadas acontece por meio de **uma técnica chamada malvertising** , que é o uso de anúncios pagos em plataformas legítimas para distribuir conteúdo malicioso.\n\nOs atacantes **compram anúncios patrocinados no Google para termos de busca como \"Claude Code\" e \"Claude Code install\"**. Quando a vítima pesquisa por esses termos com a intenção genuína de instalar a ferramenta, o resultado falso aparece antes dos resultados orgânicos que levariam ao site legítimo.\n\nEsse canal é **particularmente eficaz porque não existe nenhuma mensagem suspeita para detectar**. Não há e-mail de phishing para um filtro corporativo interceptar. A vítima iniciou a interação por conta própria, buscando algo que realmente queria instalar.\n\n## O que o malware faz\n\nQuando a vítima executa o comando copiado da página falsa, **o processo de infecção começa de forma discreta**. O sistema inicia uma cadeia de execução em estágios, uma técnica em que o malware não é entregue de uma vez só. Ele chega em partes, cada uma buscando e ativando a próxima, o que torna a detecção por antivírus muito mais difícil.\n\nO malware identificado pelos pesquisadores é o Amatera Stealer. Um stealer é uma categoria de programa malicioso cujo objetivo é**roubar informações sensíveis do sistema da vítima** , como senhas salvas no navegador, cookies de sessão e tokens de autenticação.\n\nOs cookies de sessão são arquivos que mantêm a vítima logada em sites e que, nas mãos de um atacante, permitem acessar contas sem precisar da senha.\n\nO **Amatera surgiu por volta de 2025 e é vendido por assinatura a operadores criminosos** , o que indica que existe um mercado organizado por trás, onde qualquer criminoso com interesse pode alugar o malware e usá-lo em suas próprias campanhas.\n\n## Como se proteger\n\nA **recomendação mais direta é criar o hábito de verificar a URL dentro do comando de instalação antes de executar** , não apenas o domínio da página onde está.\n\nAcessar ferramentas diretamente pelos repositórios oficiais no GitHub ou pelo site que já conhece, em vez de confiar no primeiro resultado de busca, também reduz significativamente o risco.\n\nDesconfiar de resultados patrocinados ao pesquisar por ferramentas de desenvolvimento é outra medida prática. Preferir os resultados orgânicos, que ficam logo abaixo dos anúncios, já elimina boa parte da exposição.\n\nQualquer ferramenta popular o suficiente para gerar buscas no Google e simples o suficiente para ter sua página clonada é um alvo em potencial para esse tipo de ataque.\n\nAcompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.",
  "title": "Criminosos usam falso Claude Code para distribuir vírus no Google"
}