今天，我们邀请到 Cyderes 的 Howler Cell 威胁服务高级副总裁 Brian Hussey，讨论他们在"Bad Ads, Worse Binaries: Fake Claude Code Installer Drops Infostealer"方面的研究成果。Howler Cell 发现了一起针对搜索 Claude Code 安装指南用户的 SEO 投毒活动，该活动利用伪造的 Anthropic 页面和 ClickFix 诱饵，诱骗受害者运行恶意的 MSHTA 命令。该攻击采用了一个六阶段、主要以无文件形式执行的攻击链，利用 MP3/HTA 多态文件、PowerShell 混淆、AMSI 绕过、针对每个受害者的专属基础设施以及内存执行等技术来规避检测。最终载荷是一个窃取凭证的 .NET 信息窃取器，而 Anthropic 及合法的 Claude Code 安装流程并未受到牵连。研究报告和执行摘要可在此查阅：Bad Ads, Worse Binaries: Fake Claude Code Installer Drops Infostealer