Atores de ameaças motivados financeiramente estão executando uma campanha ativa que imita o Gemini CLI da Google e o Claude Code da Anthropic, utilizando SEO poisoning para entregar um infostealerPowerShell sem arquivo em estações de trabalho de desenvolvedores em todo o mundo. A campanha foi identificada pela primeira vez no início de março de 2026 por pesquisadores da EclecticIQ.
Detalhes Técnicos
Método de Ataque:SEO poisoning para direcionar vítimas a sites maliciosos que oferecem instaladores falsificados do Gemini CLI e Claude Code.
Malware:InfostealerPowerShell sem arquivo, projetado para roubar informações sensíveis de estações de trabalho de desenvolvedores.
Objetivo: Roubo de informações sensíveis, potencialmente para uso em ataques subsequentes ou para venda no mercado negro.
Setores Afetados: Ameaça a desenvolvedores e organizações que utilizam ferramentas de desenvolvimento.
Relevância para Threat Intelligence
Essa campanha representa uma escalada calculada em ataques focados na cadeia de suprimentos, visando developers em todo o mundo. A utilização de SEO poisoning e infostealersPowerShell sem arquivo indica uma sofisticação nos métodos de ataque.
