Atenção, devs! Mais uma vez, a conveniência de um curl | bash pode estar custando caro, e seu silício está em risco.

Pesquisadores de segurança identificaram uma nova campanha de malvertising que clona páginas de instalação de ferramentas de IA, como o Claude Code, para injetar o temido Amatera Stealer. O golpe explora a confiança cega em comandos de terminal, transformando um atalho comum em um vetor de infecção.

Onde a Produtividade Encontra o Gargalo: A Falsa Promessa do 'Copiar e Colar'

No universo do desenvolvimento, a agilidade é rei. E poucas coisas são mais ágeis do que um bom e velho comando curl https://algum-site.com/instalar | bash. Para quem não está familiarizado com a "magia" por trás dessa linha, o curl é seu mensageiro digital, buscando um script em um servidor remoto. O | bash, por sua vez, é o executor implacável, pegando esse script e rodando cada linha de código diretamente no seu sistema operacional, sem pedir licença ou mostrar o que está fazendo. É como dar a chave da sua máquina para um estranho, confiando que ele só vai fazer o que você espera.

Por anos, essa prática foi vista com desconfiança pelos "escovadores de bits" mais experientes. Mas, com o tempo, a conveniência venceu a cautela, e o curl | bash virou o padrão ouro para instalar centenas de ferramentas modernas. A segurança? Ah, essa ficou por conta da fé: a fé de que o site de origem é legítimo. E é exatamente essa fé que os criminosos estão explorando com a técnica batizada de InstallFix.

O InstallFix é uma evolução astuta dos ataques ClickFix, que tradicionalmente dependem de pretextos elaborados – mensagens de erro falsas, CAPTCHAs inventados – para convencer a vítima a executar um comando malicioso. A sacada do InstallFix é que ele não precisa de pretexto algum. O usuário já chega ao site com a intenção de instalar algo, já está com o terminal aberto e pronto para copiar e colar. O contexto da própria instalação é o disfarce perfeito, um verdadeiro "gargalo" na percepção de risco do usuário.

Na campanha identificada pela Push Security, os atacantes clonaram com maestria a página de instalação do Claude Code, o assistente de programação da Anthropic que ganhou tração entre devs. A cópia é tão fiel que reproduz o layout, a identidade visual e toda a documentação oficial. A única diferença, sutil e traiçoeira, está na URL embutida no comando de instalação. Em vez de apontar para os servidores legítimos da Anthropic, o comando direciona para um servidor controlado pelos criminosos. Para quem não tem o hábito de inspecionar cada caractere de uma URL, a página é praticamente indistinguível da original.

E para fechar o cerco, qualquer outra interação com a página falsa – um clique em um link de documentação, por exemplo – redireciona a vítima automaticamente para o site legítimo. Isso significa que o desenvolvedor pode copiar o comando malicioso, executá-lo, e continuar navegando na documentação oficial sem perceber que acabou de comprometer sua máquina. É uma engenharia social de alta precisão, sem ruído, sem alertas óbvios.

A distribuição dessas páginas clonadas ocorre via malvertising, uma tática onde anúncios pagos em plataformas como o Google são usados para veicular conteúdo malicioso. Os atacantes compram termos de busca como "Claude Code" e "Claude Code install", garantindo que seus resultados falsos apareçam no topo, acima dos links orgânicos legítimos. Este método é particularmente insidioso porque não há e-mail de phishing para ser interceptado ou um anexo suspeito para ser detectado. A vítima inicia a interação por conta própria, buscando ativamente uma ferramenta que deseja instalar, caindo direto na armadilha sem desconfiar de nada.

Dissecando o Payload: Amatera Stealer, Execução em Estágios e a Ficha Técnica do Roubo de Dados

Quando o comando malicioso é executado, a infecção começa de forma quase imperceptível. O sistema inicia uma cadeia de execução em estágios, uma técnica de ofuscação que os criminosos adoram. Em vez de entregar o malware completo de uma vez, ele chega em "pedaços", cada um buscando e ativando a próxima fase. Isso dificulta enormemente a detecção por antivírus tradicionais, que muitas vezes são otimizados para identificar assinaturas de arquivos completos. É como um motor modular, onde cada peça é montada em tempo real, dificultando a análise estática.

O malware identificado nesta campanha é o Amatera Stealer. Para quem não está familiarizado, um "stealer" é um programa malicioso projetado especificamente para roubar informações sensíveis do sistema da vítima. Estamos falando de senhas salvas em navegadores, cookies de sessão, tokens de autenticação e qualquer outro dado que possa dar acesso a contas online. Imagine ter suas chaves digitais roubadas sem que você perceba.

Os cookies de sessão, por exemplo, são pequenos arquivos que mantêm você logado em sites. Nas mãos de um atacante, eles são um passaporte para suas contas, permitindo acesso sem a necessidade de senha. É um bypass completo do seu sistema de autenticação, um verdadeiro "zero-day" na sua privacidade. O Amatera Stealer, que surgiu por volta de 2025, não é um projeto amador. Ele é vendido por assinatura no submundo do cibercrime, o que indica um mercado organizado e profissional por trás dele. Qualquer criminoso com alguns trocados pode alugar essa ferramenta e usá-la em suas próprias campanhas, democratizando o roubo de dados.

Mas como se proteger dessa enrascada? A resposta, como sempre, está na vigilância e no bom senso, algo que muitas vezes é deixado de lado na pressa do dia a dia. Aqui estão algumas dicas para não ter seu silício comprometido:

Proteger seu ambiente de desenvolvimento é tão crucial quanto proteger seus dados pessoais. Um deslize pode significar a perda de credenciais, acesso a projetos confidenciais e um baita prejuízo. Não seja o gargalo na sua própria segurança.

A proliferação de malvertising e a confiança em comandos de instalação continuam a ser vetores de ataque eficazes contra desenvolvedores.