Як шахраї використовують підроблені AI-інструменти, щоб викрасти дані та контролювати акаунти
Дослідники ANY.RUN виявили масштабні кампанії шахрайства, які використовують підроблені AI-інструменти, видаючи себе за популярні бренди типу Claude, ChatGPT, GitHub Copilot, Gemini та інші. Зловмисники заманюють користувачів запускати шкідливі скрипти, встановлювати віруси, викрадати браузерні сесії та отримувати доступ до бізнес-акаунтів. За період з 15 квітня по 5 жовтня 2026 року зафіксовано більше 1258 публічних аналізів у пісочниці, пов’язаних із цими загрозами. США посідають друге місце за кількістю таких випадків після Індії.
Головні аспекти проблеми
- Це не одинична атака, а тривала кампанія. Кількість щомісячних аналізів підроблених AI-інструментів стабільно тримається понад 100, що свідчить про стале підвищення загрози.
- Найчастіше підробляють Claude і ChatGPT. Ці два бренди разом складають понад 80% усієї активності: Claude – 48%, ChatGPT і Codex – 33%.
- Американські організації часто стають цілями. В США сягає 16% усіх зафіксованих випадків, і країна очолює дві ключові шахрайські кампанії.
- Користувачі самі запускають атаки. Принаймні у 45% випадків жертви вводять шкідливі команди в командний рядок, консолі чи підроблені вікна, даючи доступ зловмисникам.
- Шахраї активно використовують довірені платформи. Зловмисне вміст розміщується на GitHub, Google Sites, Cloudflare Pages, а також підроблених офіційних доменах, що ускладнює блокування.
Що таке загроза підроблених AI-інструментів?
Ці атаки вдало маскуються під звичайні дії співробітників: пошук нових AI-додатків, інсталяція, відкриття спільних чатів або прив’язка бізнес-акаунтів здаються рутиною. Зловмисники використають цю довіру, щоби проникнути за рамки стандартних захистів, орієнтованих на пошту або мережевий трафік.
Найнебезпечніше те, що успішні атаки можуть відкривати доступ до:
- Вихідного коду та ключів API у розробників.
- Облікових записів реклами, білінгу та хмарних сервісів маркетингових команд.
Дані за період спостережень
- Період аналізу: квітень – жовтень 2026 року.
- Загальна кількість випадків у пісочниці: 1258.
- Найчистіше підроблені бренди: Claude, ChatGPT, Codex, Copilot, Gemini, Ollama, OpenClaw, Perplexity, Manus.
- Поширені канали доставки: рекламні оголошення Google, SEO-посилання, спільні AI-чати, фейкові сторінки для завантаження, email-розсилки.
- Типові дії жертви: вставка команд у PowerShell чи Terminal, запуск інсталяторів, введення логінів у підроблених вікнах.
- Наслідки: крадіжка інформації, захоплення сесій, фішинг, компрометація бізнес-акаунтів.
Ризики для бізнесу в США
Атаки на підроблені AI-інструменти створюють масштабні загрози, які можуть призвести до утрати контролю над бізнес-системами, викрадення конфіденційних даних і значних фінансових збитків. Основні загрози:
- Крадіжка сесій без пароля. Під час атаки шкідливий інсталятор вивантажує cookies браузера, що дає зловмисникам доступ до CRM, пошти та хмарних консолей без MFA.
- Компрометація робочих станцій розробників. Запуск скриптів атакуючого у середовищі розробника ставить під загрозу код, SSH-ключі і токени CI/CD.
- Захоплення рекламних і бізнес-акаунтів. Підроблені запрошення під виглядом AI-реклами крадуть логіни Google Accounts керуючих бюджетами.
- Складність виявлення. Атаки починаються з рекламних кампаній і пошукових результатів, використовують вбудовані інструменти ОС, через що антивіруси і шлюзи складно блокувати загрози.
- Тіньові AI-додатки. Самостійний пошук і встановлення неперевіреного AI-софту ускладнюють IT-захист та моніторинг.
Цікаві цифри атак
Пік активності припав на травень 2026 року з 358 аналізами. В подальші місяці рівень тримався в межах 108-151 випадок щомісяця, що свідчить про стійкий інтерес зловмисників до цієї схеми.
Розподіл атаки за брендами
Більше 4 із 5 атак пов’язані з двома назвами: Claude (48%) і ChatGPT (33%). Атаки, які вимагають прямо вставити команду, становлять мінімум 45% від усіх зафіксованих сесій.
Географія жертв і постачальників інформації
США складають 16% від загальної кількості зафіксованих інцидентів, поступаючись лише Індії, яка має 20%. За двома значними кампаніями США очолюють рейтинг за кількістю постачальників інформації.
Як працюють підроблені AI-атаки
Усі вивчені випадки мають схожу схему: жертва потрапляє на підроблену сторінку через пошук або e-mail, бачить копію офіційного сайту, а далі робить дію, що запускає шкідливе програмне забезпечення.
Основні елементи ланцюга
- Зачіпка: реклама, SEO-посилання, лист чи спільна розмова на AI-платформі.
- Підроблена сторінка: копія офіційного сайту на надійній платформі — GitHub, Cloudflare, Google Sites.
- Активність користувача: вставка команди, запуск інсталятора або введення логіну у фальшивому спливаючому вікні.
- Завантажувач: вбудовані Windows-утиліти (mshta.exe, powershell.exe) або невеликий шкідливий модуль.
- Навантаження: троян, викрадач сесій або фішинг логінів.
Метод InstallFix: скрипт замість інсталятора
Розробники часто встановлюють AI-інструменти через однолайнові команди в PowerShell або shell. Шахраї підробляють офіційну документацію, замінюючи оригінальні URL шкідливими доменами. При копіюванні та виконанні такої команди запускається злочинний скрипт з правами користувача.
Жертви потрапляють на ці сторінки через пошукові системи, включно з Bing і Google, а також через домени, схожі на офіційні, але з дрібними помилками написання (typosquatting). Встановлення йшло через завантаження скриптів з кількох різних доменів та GitHub. Деякі варіанти навіть скачували реальний інсталятор, щоб утримати жертву в спокої, поки шкідливе ПЗ працює під ним.
Фейкові сторінки “Download Claude” і кампаї ClickFix
Ці сайти копіюють сторінку завантаження Claude та пропонують інструкції для ручного запуску PowerShell-команди, яку користувач повинен вставити самостійно. Усе будувалося на стандартних інструментах Windows, щоб обійти фільтри безпеки.
Запуск зі сторінки ініціював завантаження HTA-файлу через mshta.exe, що потім запускало зашифровану PowerShell-команду. Аналіз пісочниці показав завантаження викрадачів даних і шкідливих модулів без залишення файлів у папці завантажень браузера.
Хостинги та домени цього шкідливого ланцюга часто змінювалися від квітня до вересня 2026 року.
Атаки через оригінальні платформи claude.ai та chatgpt.com
Деякі шахраї розміщують свої приманки прямо на офіційних доменах: у вигляді спільних артефактів або кастомних GPT-моделей. Через це блокувати такі сторінки складніше і багато компаній просто не наважуються обмежувати ці платформи.
На прикладі одного артефакту на claude.ai, розповсюдженого через Google Ads, показано, як користувачам пропонують встановити шкідливу macOS-команду.
Інший випадок — чат на chatgpt.com рекомендував перейти на “резервний домен”, який справляє враження офіційної частини сервісу, але насправді веде до фішингової сторінки зі шкідливим кодом і установками MSI.
Реальний інсталятор Claude з крадіжкою сесії
Іноді використовують реальний інсталятор Claude, але паралельно запускають шкідливе програмне забезпечення у фоновому режимі. Наприклад, в одному випадку під час установки планувальник завдань створював задачу, яка запускала браузер Edge у хедлес-режимі для викрадення cookies і збору розширень користувача.
Ліки для маркетологів: фальшиві рекламні запрошення
Для маркетингових команд створюють сайти з пропозиціями запуску реклами на платформах типу Claude або Gemini. При натисканні “Connect” з’являється підробне вікно входу в Google, зроблене всередині сторінки (браузер-в-браузері), яке збирає облікові дані.
Ці атаки активно реєструють геолокацію користувача та інформацію про пристрій, а потім підтримують живий зв’язок із оператором через сокети.
Шкідливі файли з іменами AI-продуктів
- Підроблені “Claude Setup.exe”, які насправді поширюють крадіїв інформації Aura Stealer.
- Файли, названі на кшталт “Copilot Installer.exe” з вбудованими Remote Access Trojan (AsyncRAT).
- Інші трояни, як-от “grok.exe” із шкідливим компонентом Quasar RAT.
Хто найчастіше стає жертвами?
- Розробники: через підроблені CLI-інсталятори.
- Маркетингові команди: через фальшиві пропозиції рекламних інструментів.
- Ширші кола користувачів: під час пошуку AI-додатків і використання підроблених чатів або десктопних програм.
Галузі, де помічена активність
| Галузь | Світ (з 7 пошукових запитів) | США (з 4 запитів) |
|---|---|---|
| Технології | 7 | 2 |
| Телекомунікації | 6 | 3 |
| Освіта | 5 | 1 |
| Консалтинг | 5 | 1 |
| Виробництво | 4 | 3 |
| Охорона здоров’я | 4 | 1 |
| Уряд | 4 | 1 |
| Фінанси | 4 | 1 |
Як знизити ризики підроблених AI-атак
Створіть єдиний офіційний каталог AI-інструментів
Заохочуйте співробітників використовувати лише затверджені AI-додатки з офіційних джерел, налаштовані через корпоративні менеджери додатків. Так ви позбавите співробітників потреби шукати неперевірений софт через пошуковики.
Призначте відповідальних за AI-інструменти і встановіть бюджет
Відповідальний менеджер допоможе швидко затверджувати інструменти і уникати хаосу “затишшя тіньового AI”. Працюйте з бюджетом, щоб команди не шукали безкоштовні варіанти з побічними ризиками.
Обмежте можливості для запуску команд і скриптів
Відключіть виконання PowerShell чи mshta.exe для звичайних користувачів, використовуйте AppLocker або Windows Defender Application Control. Це унеможливить запуск шкідливих скриптів через меню “Вставити і запустити”.
Використовуйте поведінковий аналіз атак
Інструменти інтерактивного аналізу, як ANY.RUN, допомагають швидко розпізнати шкідливий функціонал у файлах і скриптах, пов’язати зашифровані ланцюжки з відомими кампаніями та пришвидшити розслідування інцидентів.
Розширюйте бачення загроз через контекст
Сервіси типу Threat Intelligence Lookup допомагають перейти від окремих перевірок доменів чи файлів до розуміння масштабів кампанії, об’єднати індикатори та відслідковувати їхню еволюцію.
Підтримуйте актуальність систем виявлення
Регулярно оновлюйте списки шкідливих доменів, IP-адрес та хешів у ваших системах SIEM, SOAR і EDR, щоб тримати крок із постійним переміщенням інфраструктури атакуючих.
Деталі MITRE ATT&CK
У кампаніях ідентифіковано низку технік MITRE ATT&CK, зокрема:
- SEO-посилання і рекламне розповсюдження (T1583.008, T1608.006)
- Виконання користувацьких скриптів і файлів (T1204.004, T1204.002)
- Використання PowerShell і Unix shell для запуску команд (T1059.001, T1059.004)
- Створення планувальників завдань для збереження доступу (T1053.005)
- Зловживання системними бінарними файлами (T1218.005, T1218.007)
- Крадіжка cookie сесій і збережених паролів (T1539, T1555.003)
Ключові індикатори компрометації (IOC)
Нижче наведено ряд катівних елементів, що допоможуть швидше виявити і блокувати шахрайські кампанії:
Найцінніші індикатори, що пережили домени
- /api/checkBan/, /api/send/ip, /api/create/user — бекенд AI рекламних кампаній.
- /stats-claude-collector.php, /api4.php?method=auth — частини троянів у фальшивих інсталятах.
- /curl/<64 hex> — завантажувачі для macOS підлаштованих скриптів.
- /api.php?k=… — ключі операторів для спільних GPT-ланцюжків.
Небезпечні файли з відомими хешами
| SHA-256 | Назва | Призначення |
|---|---|---|
| 882b1aa5432509df9b1ac29b6f987a5dd70c8f46009237de956275a58536f470 | Claude_x64-setup.exe | Троянський інсталятор з GitHub |
| e86f7ba0413a3a4b1d7e1a275b3d1ef62345c9d3fd761635ff188119b8122c85 | claude-code.exe | Aura Stealer під прикриттям |
Домени, асоційовані з атакою
- claudecode.us.com, setup-code.com, use-code.com — InstallFix приманки.
- install-copilot.com, copilotcli.co.com — приманки GitHub Copilot CLI.
- cladesktop-apps.com, code-desktop.com — фальшиві сторінки для завантаження Claude.
- last-version.install-2026.com — HTA стадія для PowerShell-атак.
- paripassuventures.com — хост для MacSync Stealer.
- openai-backup.one — “резервний” домен для ChatGPT лову.
- claude-ai.us — троянський інсталятор зі шкідливою активністю.
- кластерні домени для фішинг-інфраструктури (claude-advertisement.com, gemini-beta-invitations.com).
Підсумки
Підроблені AI-інструменти перетворили популярні бренди у зручні двері для проникнення в корпоративні мережі. Схеми атак базуються на довірі користувачів і активному використанні звичних інструментів, що ускладнює їх виявлення.
Американські компанії — серед головних мішеней, а виявлення загроз краще здійснювати через моніторинг поведінки, а не просте блокування доменів, оскільки інфраструктура шахраїв швидко змінюється. Загроза вимагає системного підходу: суворий контроль софту й активностей користувачів, а також використання сучасних інструментів Threat Intelligence і інтерактивного аналізу.
