Рекламна кампания със злонамерена цел (malvertising) в търсачката Bing разпространява фалшив инсталатор на настолно приложение Claude, хостван на легитимен домейн Claude.ai, с цел доставяне на зловредния код SectopRAT.
Най-малко 29 организации са били компрометирани между 21 и 22 юли по време на злонамерената операция, която изследователите наричат „FakeAgent“.
Атакуващите са използвали компрометиран компонент (Claude Artifact), хостван на легитимния домейн на Claude – тактика, която беше използвана в началото на годината за разпространение на зловреден софтуер за macOS чрез примамки от типа „ClickFix“.
Изследователи от компанията за управлявана сигурност Huntress установиха, че зловредният компонент Claude Artifact, изтеглен 7100 пъти преди Anthropic да го премахне, е пренасочвал посетителите към уебсайтове, хостващи фалшив инсталатор с име ClaudeDesktop.exe.
Въпреки това, файлът е легитимен компонент на JetBrains Chromium, който зарежда странично (sideloads) зловредна DLL библиотека (libcef.dll), за да достави троянския кон за отдалечен достъп SectopRAT с възможности за кражба на информация.
Персистентност (устойчивост) в системата се постига чрез друг изпълним файл, наречен DockerDesktop.exe, който инсталира планирана задача.
Huntress споделя, че различните зареждащи и междинни компоненти, използвани във веригата на заразяване, разполагат с механизми за противодействие на анализа. Те включват пакетиране с VMProtect, проверки на времето на шейдърите, проверки на графичния процесор (GPU) и видеопаметта (VRAM), както и откриване на виртуални машини (VM).
Зловредният код SectopRAT наскоро беше забелязан да се разпространява чрез кампании на CastleLoader и атаки от типа „ClickFix“.
Зловредният софтуер използва техниката „EtherHiding“ за извличане на работещ адрес на сървър за управление и контрол (C2) чрез транзакции в мрежата Ethereum BNB Smart Chain.
SectopRAT, известен също като „ArechClient2“, е активен от 2019 г. и представлява инструмент за кражба на информация с функционалност HVNC (скрит виртуален мрежов компютър). Той позволява отдалечени операции в реално време и взаимодействие с компрометираната система.
Зловредният код е насочен към потребителски пароли, данни за кредитни карти, файлове, идентификационни данни за влизане в браузъра и бисквитки, FTP идентификационни данни, данни от различни клиенти за съобщения, включително Discord и Telegram, Steam, както и VPN продукти.
В интересен обрат на събитията Huntress съобщава, че е използвала Claude Opus 4.8 за съдействие при емулация на шейдъри, криптографска реконструкция и анализ на .NET код.
Анализът на декриптирания .NET зловреден код (SectopRAT) е помогнал за приписването на атаките към операциите на SectopRAT или тясно свързано разклонение и е отворил пътя към анализ на инфраструктурата.
На този етап изследователите са открили 10 домейна, регистрирани на същия имейл адрес от декември 2025 г., като един от тях преди това е бил свързан с разпространението на StealC и иззет по време на операция „Endgame“.
Huntress не разполага с достатъчно доказателства, за да припише кампанията „FakeAgent“ на конкретна, известна група киберпрестъпници.
Потребителите, които търсят софтуер, трябва да се доверяват на официалните уебсайтове и портали за изтегляне, вместо на резултатите от търсенето, особено на спонсорираните.