En mars 2026, l'équipe Threat Research de Kaspersky a identifié une nouvelle campagne malveillante ciblant les développeurs qui cherchent à installer Claude Code, l'agent d’IA créé par Anthropic. Lorsqu’un internaute tape «Claude Code download» dans un moteur de recherche, des annonces sponsorisées trompeuses apparaissent en tête des résultats.
L'une de ces publicités redirige les utilisateurs vers une page Web malveillante qui imite fidèlement la documentation d'installation officielle de Claude Code. C’est ainsi que le piège se referme : croyant télécharger l’outil, les utilisateurs installent un malware qui dérobe des informations sensibles, telles que des identifiants, des données de portefeuilles de cryptomonnaies, des sessions de navigation et autres fichiers confidentiels. Des campagnes malveillantes similaires imitent d'autres outils IA populaires, tels qu'OpenClaw.
La fausse page est visuellement identique à l'originale et hébergée sur Squarespace, une plateforme de création de sites web. Comme elle reproduit à l'identique les instructions officielles, les utilisateurs risquent de ne pas s'apercevoir de la différence au moment de copier et d'exécuter les commandes d'installation.
Cependant, à la place de télécharger l'outil de développement, les commandes installent un malware sur le système de la victime. Selon le système d'exploitation utilisé, ces commandes malveillantes peuvent installer différents types d'infostealers:
- Les systèmes Windows sont infectés par Amatera, un malware qui aspire des informations dans le répertoire de l'utilisateur, les navigateurs web et les portefeuilles de cryptomonnaies, avant de transmettre le tout vers un serveur distant. Amatera a déjà été observé lors de campagnes utilisant la technique de distribution ClickFix et est exploité selon le modèle de malware-as-a-service (MaaS).
- Les systèmes macOS, sont contaminés par AMOS, un autre logiciel de vol de données déjà documenté dans plusieurs campagnes malveillantes ciblant les appareils Apple. Ce malware a déjà fait l'objet de publications de la part de Kaspersky.
Les chercheurs Kaspersky ont également identifié des campagnes malveillantes similaires ciblant d’autres outils IA tels que OpenClaw et Doubao. En utilisant la même approche, les attaquants ont déposé plusieurs noms de domaine pour diffuser des fichiers infectés par l'infostealer Amatera, en les faisant passer pour des téléchargements légitimes
« Cette campagne présente des risques majeurs car les outils de développement IA tels que Claude Code et OpenClaw sont largement utilisés, non seulement par des passionnés et des adeptes de l'automatisation, mais aussi par des développeurs professionnels travaillant au sein de grandes entreprises. En cas d'infection, les victimes peuvent exposer, à leur insu, le code source des projets en cours, des données d'entreprise confidentielles, des identifiants d'authentification ou encore des comptes privés. Cela rend ces campagnes particulièrement dangereuses pour les entreprises dont les développeurs s'appuient sur des outils de codage assistés par l'IA », commente Vladimir Gursky, cybersecurity expert chez Kaspersky.
En décembre 2025, Kaspersky avait déjà détecté des attaquants diffusant un infostealer pour macOS via Google Ads. Une interface de chat, spécialement conçue pour ressembler à un tutoriel ChatGPT, prétendait guider les utilisateurs dans l'installation d'Atlas Browser. Ces fausses instructions semblaient être hébergées sur un site légitime associé à OpenAI, permettant ainsi aux hackers de gagner la confiance des utilisateurs.
Afin de se protéger face à ces menaces, les experts Kaspersky recommandent de :
- Vérifier attentivement les liens de téléchargement et s'assurer qu'ils renvoient bien vers les sites officiels des projets.
- Examiner attentivement toute instruction en ligne avant de les appliquer, en particulier si elle provient de sources externes.
- Eviter de suivre des guides ou tutoriels que vous n'avez pas expressément recherchés ou dont vous ne comprenez pas entièrement le fonctionnement.
- Utiliser des solutions de sécurité fiables pour les terminaux, capables de détecter et de bloquer les logiciels infostealers ainsi que les téléchargements malveillants.
À propos de Kaspersky
Kaspersky est une société internationale de cybersécurité et de protection de la vie privée fondée en 1997. Avec à ce jour plus d'un milliard d'appareils protégés contre les cybermenaces émergentes et les attaques ciblées, l'expertise de Kaspersky en matière de sécurité et de renseignements sur les menaces est constamment convertie en solutions et services innovants pour protéger les particuliers, les entreprises, les infrastructures critiques et les autorités publiques dans le monde entier. Le large portefeuille de solutions de cybersécurité de Kaspersky inclut la protection avancée de la vie numérique pour les appareils personnels, des produits et services de sécurité spécialisés pour les entreprises, ainsi que des solutions de Cyber Immunité pour lutter contre les menaces numériques sophistiquées, en constante évolution. Kaspersky aide des millions de particuliers et plus de 200 000 entreprises à protéger ce qui compte le plus pour eux. Pour en savoir plus, consultez le site https://www.kaspersky.fr
