Securityonderzoekers van Push Security hebben een nieuwe techniek ontdekt die ze InstallFix noemen. Aanvallers klonen hierbij installatiepagina’s van developer tools zoals Claude Code en vervangen de install-commando’s door malware-instructies. De nep-pagina’s worden via gesponsorde Google-zoekresultaten verspreid en installeren de Amatera Stealer op het systeem van slachtoffers.
De aanvalsmethode bouwt voort op het bekende ClickFix-patroon, maar heeft als groot voordeel dat er geen smoesje nodig is. De gebruiker wil simpelweg software installeren, en dat is genoeg. De nep-pagina’s zijn vrijwel pixel-perfect kopieën van de officiële Claude Code-installatiepagina, inclusief layout, branding en documentatiesidebar. De install-commando’s verwijzen echter niet naar claude.ai, maar naar een server van de aanvaller. Wie de URL in het commando niet nauwkeurig controleert ziet geen verschil. Na interactie met de pagina worden bezoekers bovendien doorgestuurd naar de echte site, waardoor argwaan wordt weggenomen.
De nep-pagina’s worden uitsluitend verspreid via Google Ads, in het bijzonder via gesponsorde zoekresultaten. Zoekopdrachten als “Claude Code install” of “Claude Code CLI” leiden slachtoffers naar de malafide pagina’s. Techzine berichtte eerder al over een geval waarbij Claude in acht uur werd omgebouwd tot malwarefabriek, en ook dat meer dan 40.000 OpenClaw-agents kwetsbaar bleken.
Amatera Stealer als payload
De malware die via de nep-commando’s wordt geïnstalleerd, is de Amatera Stealer. Deze infostealer verscheen voor het eerst in 2025 en geldt als opvolger van de ACR Stealer. Amatera steelt browsergegevens, cookies, sessietokens en systeeminformatie. De malware communiceert met zijn command-and-control server via hardcoded IP-adressen van legitieme CDN’s, wat detectie bemoeilijkt. Voor hosting misbruiken de aanvallers Cloudflare Pages, Squarespace en Tencent EdgeOne.
De campagne staat niet op zichzelf. Naast de nep-Claude Code-pagina’s signaleerden de onderzoekers ook klonen van de Homebrew-installatiepagina en malafide npm packages die de officiële Claude Code-naam imiteren. Volgens Push wordt vier op de vijf ClickFix-lokmiddelen via zoekmachines verspreid.