Mã độc mạo danh Claude Code gia tăng đột biến

[Tin tức] Cảnh báo về làn sóng mã độc tinh vi lợi dụng vụ rò rỉ mã nguồn 'Claude Code' của Anthropic

Gần đây, bắt đầu từ sự cố mã nguồn của 'Claude Code' — công cụ AI hỗ trợ lập trình dựa trên CLI của Anthropic — bị rò rỉ do lỗi cấu hình build, số lượng các cuộc tấn công chuỗi cung ứng tinh vi và tấn công lừa đảo xã hội lợi dụng sự việc này đang tăng mạnh, đòi hỏi các nhà phát triển phải đặc biệt cảnh giác.

1. Khởi nguồn sự việc: rò rỉ mã nguồn do lỗi cấu hình runtime Bun

Vào ngày 31 tháng 3, trong quá trình phát hành gói npm chính thức (@anthropic-ai/claude-code v2.1.88), Anthropic đã vô tình đưa kèm tệp source map (cli.js.map).

2. Các vector tấn công chính: 'InstallFix' và 'GitHub Bait'

Các đối tượng tấn công đã phân tích mã bị rò rỉ, sao chép hoàn toàn UX và cơ chế cài đặt của Claude Code, rồi phát tán mã độc qua các con đường sau.

• Chiến dịch InstallFix (SEO Poisoning): Hiển thị trang lừa đảo ở vị trí quảng cáo đầu trang Google với từ khóa "Claude Code install".
• Kho lưu trữ GitHub giả mạo: Dụ dỗ bằng các cụm như "unlocked", "enterprise feature" và giả làm phiên bản đã chỉnh sửa từ bản rò rỉ để phát tán các tệp nhị phân chứa Vidar (infostealer) và GhostSocks (mã độc proxy)
• Mạo danh tiện ích mở rộng VS Code: Thực hiện tấn công fileless bằng cách chạy powershell và mshta ở chế độ nền thông qua tiện ích mở rộng giả mạo ứng dụng chính thức của Anthropic

3. Mối đe dọa an ninh chuỗi cung ứng (npm Typosquatting)

Cũng đã xuất hiện dấu hiệu cho thấy các đối tượng tấn công, sau khi xác định tên các dependency nội bộ trong phần mã bị rò rỉ, đang chiếm trước các tên gói như audio-capture-napi, url-handler-napi vốn trông giống các module nội bộ của Claude Code để chuẩn bị cho tấn công 'Dependency Confusion'.

4. Hướng dẫn ứng phó

• Xác minh đường dẫn cài đặt
• Cẩn trọng khi sao chép và dán
• Cố định phiên bản package
• Phát hiện các sự cố liên quan

---

Tóm tắt một dòng: Đừng tìm kiếm cách cài Claude Code trên Google rồi dán ngay lệnh vào terminal. Nguy cơ nhiễm infostealer từ các trang giả mạo là rất cao.