Hackers usam vazamento do Claude Code para espalhar malware escondido em arquivos compactados

O vazamento de dados do Claude Code se tornou uma ferramenta nas mãos de cibercriminosos. Hackers estão distribuindo em massa arquivos compactados que supostamente contêm arquivos vazados da Anthropic, mas as vítimas também recebem um malware oculto. O ataque mira usuários que buscam acesso a material proibido e estão dispostos a correr riscos para isso.

O esquema segue a lógica clássica da isca digital. Arquivos com nomes que sugerem conteúdo exclusivo, como um vazamento da Anthropic, dados internos do Claude Code ou o código-fonte de produtos da empresa, circulam em fóruns, canais do Telegram, servidores do Discord e torrents. Dentro deles, além de arquivos reais ou fabricados, há um infostealer ou um loader que baixa outros malwares.

Depois de executado, o malware coleta dados de navegadores, carteiras de criptomoedas e mensageiros: tudo o que pode ser usado para roubar contas ou vendido no mercado clandestino. O ataque explora tanto a curiosidade dos usuários quanto a vontade de contornar restrições. Quem procura dados vazados de produtos comerciais de AI muitas vezes ignora as precauções básicas: não verifica a origem, não executa os arquivos em ambiente isolado e não analisa o conteúdo antes de abri-lo.

Isso torna esse público especialmente vulnerável. Pesquisadores observam que esse tipo de esquema ganha força sempre que surge um vazamento de grande repercussão, seja ele real ou não. Mas os ataques hacker desta semana não se limitaram ao Claude Code.

O FBI alertou para uma ameaça grave à segurança nacional: criminosos invadiram ferramentas de interceptação legal de ligações telefônicas, os chamados sistemas de wiretap. Esses sistemas são usados por serviços de inteligência e órgãos de segurança pública dos EUA em investigações autorizadas. O acesso a eles permite tanto obter dados sigilosos sobre operações em andamento quanto identificar fontes confidenciais.

O FBI não divulgou detalhes da invasão, mas ressaltou que a ameaça é de natureza sistêmica. Ao mesmo tempo, veio a público a invasão da Cisco, parte de uma ampla campanha de ataques à cadeia de suprimentos. Os criminosos roubaram trechos do código-fonte da empresa.

Esse material tem valor considerável: o código-fonte permite buscar vulnerabilidades zero-day, que depois podem ser exploradas em ataques direcionados contra infraestruturas corporativas no mundo todo. Os ataques à cadeia de suprimentos continuam entre as tendências mais perigosas da cibersegurança: um único fornecedor comprometido abre as portas para milhares de organizações que confiam em seus produtos. Os três incidentes seguem o mesmo padrão: os atacantes exploram a confiança, seja em marcas, em ferramentas legítimas ou em cadeias de parceiros.

Quando o usuário baixa um arquivo com um vazamento, ele confia na própria curiosidade. Quando um sistema de wiretap recebe uma solicitação, ele confia na autorização. Quando uma empresa usa o software de um fornecedor, ela confia na cadeia de suprimentos.

Os atacantes encontram e exploram metodicamente cada um desses elos. Para o usuário comum, a conclusão é clara: qualquer arquivo compactado com conteúdo exclusivo ou vazado vindo de fontes não oficiais deve ser tratado como potencialmente malicioso, por mais convincente que pareça a descrição. Os infostealers escondidos nesses arquivos comprometem não só um dispositivo, mas também todos os serviços cujas senhas ficam salvas no navegador.

Se algo parece um conteúdo exclusivo proibido, é bem provável que seja uma armadilha.