JadeProxとの関連が確認された攻撃では、正規のClaudeを装った偽サイトが使用されました。

偽サイトでは、約505MBの次のファイルが配布されていました。

Claude-Pro-windows-x64.zip

ZIP内にはClaude.msiが含まれており、実行するとWindowsのスタートアップフォルダへ次の3ファイルを配置します。

NOVupdate.exe
NOVupdate.exe.dat
avk.dll

NOVupdate.exe自体は、G DATA製品で使用されていた正規署名付きの実行ファイルです。

しかし、同じフォルダに攻撃者が作成した偽のavk.dllを置くことで、正規EXEに悪意のあるDLLを読み込ませます。これは「DLLサイドローディング」と呼ばれる攻撃です。

暗号化されたNOVupdate.exe.datはDLLによって復号され、DonutLoaderを経由してBeagleバックドアがメモリ上で実行されます。Beagleは、コマンド実行、ファイル送受信、ディレクトリ操作、自身の削除などを行えます。

DLLサイドローディングが危険な理由

通常のウイルス対策では、デジタル署名のあるEXEを信頼する傾向があります。

しかし、DLLサイドローディングでは、EXE本体は本物です。