Falso download do Claude no próprio claude.ai rouba senhas e cripto no Mac e no Windows

Criminosos estão pagando anúncios no Google para levar quem procura onde baixar o Claude a falsos guias de instalação hospedados no próprio claude.ai, o site oficial da Anthropic. O esquema está descrito em um relatório publicado na segunda-feira (26) pela Gen Digital, dona da Norton e da Avast, que identificou duas campanhas: uma rouba senhas e carteiras de criptomoedas no Mac, a outra instala um trojan de acesso remoto no Windows.

O perigo está no endereço. A página falsa aparece com o domínio verdadeiro, cadeado e logo do Claude, o que derruba a dica mais repetida contra phishing, a de conferir se o site é o certo. Nenhuma fonte cita vítimas no Brasil nem anúncios em português, mas o relatório não menciona trava geográfica.

Ninguém invadiu a Anthropic. Segundo a Gen, os golpistas usaram dois recursos que todo usuário comum do Claude tem: o chat compartilhado, que gera links no formato claude.ai/share/…, e o Artifact público, em claude.ai/artifact/…. Com eles, os criminosos montaram uma réplica quase idêntica da página oficial de download, com o mesmo logo, o mesmo layout e um título praticamente igual.

Golpe usa anúncio no Google e um aviso de "não verificado" que passa despercebido

Os links analisados por Vojtěch Moravec, autor do relatório, carregavam parâmetros de rastreamento do Google Ads (gclid e gad_campaignid), sinal de que alguém pagou para colocá-los no topo da busca, a técnica conhecida como malvertising. A Gen achou vários Artifacts ligados a duas campanhas de anúncios diferentes: uma operação financiada e rotativa, nas palavras da empresa.

No Artifact, o único alerta é uma faixa fina com o texto "Content is user-generated and unverified" (conteúdo gerado por usuário e não verificado). No chat compartilhado, uma conversa falsa sobre o "Claude Code no Mac", exibida como "Shared by John Gol", traz a isca logo abaixo do aviso de conteúdo inseguro da própria Anthropic. Para a Gen, o conteúdo é marcado como não verificado, mas "o domínio ainda parece muito confiável".

No Mac, falso Claude manda colar comando no Terminal e instala o Atomic Stealer

A página falsa não oferece instalador. Exibe uma caixa chamada "Install on macOS — Quick install via Terminal" com quatro passos: abrir o Terminal, clicar em Copiar, colar e apertar Enter. O comando copiado vem ofuscado, com o endereço do servidor dos criminosos escondido num bloco codificado.

É a técnica chamada ClickFix: como a própria vítima cola e executa o comando, o sistema entende que a ordem partiu do dono da máquina, e muitas defesas deixam passar. No Mac, o comando baixa um script carregador, que puxa um segundo script, que instala o programa principal: um ladrão de dados escrito em AppleScript da família Atomic macOS Stealer, o AMOS.

O malware precisa de Acesso Total ao Disco para agir. Sem ela, mostra um aviso falso do macOS e se programa para rodar de novo na próxima abertura do Terminal. Quando consegue, exibe uma janela falsa de senha dos Ajustes do Sistema que só some quando o usuário digita a senha correta. E guarda essa senha em texto puro.

Daí em diante, a coleta é rápida: senhas e cookies de sessão de navegadores baseados em Chromium e Gecko, chaves do Keychain usadas para decifrar logins salvos, carteiras de cripto e arquivos.pdf,.docx,.key,.seed,.pem,.wallet e.ovpn. Tudo segue num ZIP para o servidor dos criminosos.

A parte mais cruel mira quem guarda cripto em carteira física. Se o AMOS encontra Ledger Live, Ledger Wallet ou Trezor Suite, troca o aplicativo por uma cópia adulterada. Na abertura seguinte, a cópia pede para "restaurar" ou "validar" a frase de recuperação; no Trezor, chega a exibir uma animação falsa com "Validating seed phrase… Almost there". As palavras vão para um segundo servidor, montado só para colher essas frases, e com elas o golpista esvazia as carteiras.

No Windows, falso instalador do Claude usa três teclas para abrir um trojan

A segunda campanha, que a Gen trata como separada, usa um Artifact intitulado "Install Claude on Windows", também divulgado com anúncios do Google, com a frase "Three quick steps and you're done". Os passos são atalhos de teclado: Win+R para abrir a janela Executar, Ctrl+V para colar e Enter.

O que entra ali é um comando de PowerShell malicioso "desde o primeiro caractere", segundo a Gen. Para parecer inofensivo, imprime um banner "SYSTEM" e mensagens como "Challenge in progress… 50% done… Challenge completed". Nos bastidores, busca a etapa seguinte numa página do github.io, com um executável.NET empacotado e criptografado.

O programa final se esconde injetando código num processo comum do Windows, verifica qual antivírus está instalado, tira capturas de tela e lê o título da janela em uso. E mantém conexão aberta com o servidor dos atacantes para receber novos comandos. É comportamento de trojan de acesso remoto (RAT). Ele ainda vasculha o PC atrás de carteiras como Electrum, Exodus, Ethereum, Bitcoin e Ledger, além de extensões de carteira no navegador.

Claude virou isca recorrente de golpes em 2026

A técnica não é inédita. Em março, a Push Security documentou clones da página de instalação do Claude Code divulgados com anúncios no Google e entregando o Amatera Stealer. Em julho, a Huntress investigou a invasão de um Mac que começou com uma busca sobre como instalar o Claude: o anúncio levava a um chat compartilhado no claude.ai com o selo "Shared by Apple Support", que instalava o MacSync, ladrão de dados com acesso remoto. Em outubro, a Push descreveu o golpe apelidado de Adception, em que um anúncio do Google passava por um redirecionamento do Bing até um falso download do Claude para Mac.

A novidade do relatório da Gen é que há mais de uma campanha de anúncios e que os dois sistemas operacionais estão na mira. O link claude.ai/share já tinha virado notícia por outro motivo, quando a Wired revelou conversas compartilhadas aparecendo em buscas no Google e no Bing, porque esses links são páginas públicas e indexáveis.

A Anthropic não comentou o caso, e a Gen não informa se as páginas que encontrou já saíram do ar. "É improvável que o Claude seja o último serviço de IA atacado desse jeito", avalia a Gen. O Notebookcheck lembra que, no início de outubro, um falso modelo "ChatGPT Plus 5.6" publicado no chatgpt.com espalhava um trojan.

Onde baixar o Claude de verdade e o que fazer se já colou o comando

O aplicativo do Claude para Mac e Windows é um instalador comum, baixado em claude.com/download, com ".com". Página que manda colar um comando no Terminal ou na janela Executar para instalar o app é golpe. A exceção é o Claude Code, ferramenta para programadores que se instala por linha de comando; aí, só vale o guia da Anthropic. No endereço, /share/ ou /artifact/ depois de claude.ai indica conteúdo de usuário. "Um endereço genuíno diz onde o conteúdo está hospedado, mas não necessariamente quem o criou", resume a Gen.

Quem já executou um comando desses deve tratar o computador como totalmente comprometido, recomenda a Gen: de outro aparelho, trocar as senhas de e-mail, banco e corretoras primeiro, encerrar todas as sessões, ativar a autenticação em dois fatores e mover as criptomoedas para uma carteira criada com uma frase de recuperação nova.