Kampanye maliklan di layanan pencarian Bing mendorong penginstal aplikasi desktop Claude palsu yang dihosting di domain Claude.ai yang sah untuk mengirimkan malware SectopRAT.
Setidaknya 29 organisasi disusupi antara tanggal 21-22 Juli selama operasi jahat, yang oleh para peneliti disebut FakeAgent.
Penyerang menggunakan Artefak Claude berbahaya yang dihosting di domain sah Claude, yang merupakan taktik umum yang telah digunakan
Para penyerang menggunakan Artefak Claude berbahaya yang dihosting di domain sah Claude, sebuah taktik yang telah digunakan pada awal tahun untuk mendorong malware macOS melalui umpan ClickFix.
Para peneliti di perusahaan keamanan terkelola Huntress menemukan bahwa Claude Artifact yang berbahaya, diunduh 7.100 kali sebelum Anthropic menghapusnya, mengarahkan pengunjung ke situs web yang menghosting penginstal palsu bernama ClaudeDesktop.exe.
Sumber: Pemburu
Namun, file tersebut adalah komponen JetBrains Chromium sah yang melakukan sideload DLL berbahaya (libcef.dll) untuk mengirimkan trojan akses jarak jauh SectopRAT dengan kemampuan mencuri informasi.
Kegigihan pada sistem dicapai melalui nama executable lain DockerDesktop.exe, yang menginstal tugas terjadwal.
Huntress mengatakan bahwa berbagai komponen pemuat dan pementasan yang digunakan dalam rantai infeksi memiliki mekanisme anti-analisis, termasuk pengemasan VMProtect, pemeriksaan waktu shader, pemeriksaan GPU dan VRAM, dan deteksi mesin virtual (VM).
Malware SectopRAT baru-baru ini diamati didistribusikan melalui Kampanye CastleLoader dan serangan ClickFix.
Malware menggunakan Teknik Menyembunyikan Ether untuk mengambil alamat perintah-dan-kontrol (C2) yang berfungsi melalui transaksi Ethereum BNB Smart Chain.
SectopRAT, juga dikenal sebagai ArechClient2, telah aktif sejak 2019 dan merupakan pencuri informasi dengan fungsionalitas HVNC (Hidden Virtual Network Computing). Hal ini memungkinkan pengoperasian langsung jarak jauh dan interaksi real-time dengan sistem yang disusupi.
Malware ini menargetkan kata sandi pengguna, data kartu kredit, file, login dan cookie browser, kredensial FTP, data dari berbagai klien perpesanan, termasuk produk Discord dan Telegram, Steam, dan VPN.
Sumber: Pemburu
Dalam twist yang menarik, Laporan pemburu wanita itu menggunakan Claude Opus 4.8 untuk membantu emulasi shader, rekonstruksi kriptografi, dan analisis kode .NET.
Analisis payload .NET yang didekripsi (SectopRAT) membantu mengaitkan serangan tersebut dengan operasi SectopRAT, atau cabang yang terkait erat, dan membuka jalur ke analisis infrastruktur.
Pada tahap tersebut, para peneliti menemukan 10 domain terdaftar ke alamat email yang sama sejak Desember 2025, dengan salah satunya sebelumnya tertaut ke distribusi StealC dan disita selama Operasi Akhir Permainan.
Huntress tidak memiliki cukup bukti untuk mengaitkan kampanye FakeAgent dengan kelompok ancaman tertentu yang diketahui.
Pengguna yang mencari perangkat lunak harus mempercayai situs web resmi dan portal unduhan, bukan hasil pencarian, terutama yang disponsori.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
