Kampanye iklan berbahaya yang menyamar sebagai unduhan aplikasi desktop Claude di Bing dilaporkan telah menginfeksi sedikitnya 29 organisasi. Serangan ini mengantarkan korban ke penginstal palsu yang menjalankan malware pencuri data SectopRAT.
Operasi yang diberi nama FakeAgent itu hanya terdeteksi aktif pada 21–22 Juli. Namun, durasi singkat tidak mengurangi risikonya karena pelaku memanfaatkan iklan bersponsor dan nama layanan AI yang dikenal luas untuk menarik korban.
| Temuan | Data | Keterangan |
|---|---|---|
| Periode operasi | 21–22 Juli | Kampanye FakeAgent berlangsung dalam waktu singkat. |
| Organisasi terinfeksi | Setidaknya 29 | Perangkat korban dilaporkan terkena rangkaian serangan. |
| Unduhan Artifact berbahaya | Sekitar 7.100 kali | Artifact sempat tersedia sebelum dihapus Anthropic. |
Huntress menemukan pelaku membuat unduhan berbahaya tampak seperti perangkat lunak resmi. Salah satu cara yang dipakai ialah mengunggah Claude Artifact berbahaya ke domain resmi Claude.ai.
Artifact tersebut kemudian mengarahkan pengunjung ke situs lain untuk mengunduh berkas bernama ClaudeDesktop.exe. Nama berkas itu dirancang untuk meyakinkan pengguna yang sedang mencari aplikasi Claude untuk komputer.
Di balik tampilannya, penginstal palsu itu memanfaatkan komponen JetBrains Chromium yang sah. Komponen tersebut digunakan dalam teknik DLL sideloading untuk memuat berkas berbahaya bernama libcef.dll.
DLL sideloading membuat program yang terlihat sah menjalankan komponen berbahaya ketika dibuka. Tahap ini memungkinkan SectopRAT aktif dan memberi pelaku akses jarak jauh ke perangkat yang terinfeksi.
Data Pribadi dan Kredensial Menjadi Sasaran
SectopRAT, yang juga dikenal sebagai ArechClient2, merupakan malware pencuri informasi yang telah aktif sejak 2019. Malware ini dapat memburu kata sandi, informasi kartu kredit, file pribadi, kredensial akun, cookie peramban, serta data FTP.
Sasaran lainnya mencakup data dari Discord, Telegram, Steam, dan sejumlah layanan VPN. Kemampuan hidden virtual network computing atau HVNC juga dapat memberi pelaku kendali atas komputer korban tanpa terlihat oleh pengguna.
Risiko tidak berhenti pada saat berkas palsu dijalankan. Huntress mendapati berkas lain bernama DockerDesktop.exe digunakan untuk membuat scheduled task, sehingga malware dapat aktif kembali secara otomatis.
Mekanisme tersebut memberi peluang bagi malware untuk bertahan lebih lama di perangkat. Dengan demikian, korban dapat tetap menghadapi risiko pencurian data meski aplikasi palsu tidak lagi digunakan secara aktif.
Pelaku Menyulitkan Analisis dan Pemblokiran
Pelaku melengkapi malware dengan sejumlah lapisan antianalisis, termasuk VMProtect packing, pemeriksaan waktu shader, serta pengecekan GPU dan kapasitas VRAM. Malware juga berupaya mendeteksi lingkungan mesin virtual yang lazim digunakan peneliti keamanan.
Teknik ini dapat menyembunyikan perilaku berbahaya ketika malware mendeteksi proses pemeriksaan. Akibatnya, upaya analisis teknis dan identifikasi ancaman menjadi lebih rumit.
SectopRAT juga memakai teknik etherhiding untuk menyembunyikan alamat server command and control atau C2. Alamat itu disimpan melalui transaksi pada jaringan Ethereum BNB Smart Chain, bukan dicantumkan langsung dalam kode program.
Penyimpanan alamat C2 dengan cara tersebut membuat infrastruktur pelaku lebih sulit ditelusuri dan diblokir. Malware dapat mengambil alamat server pengendalinya saat diperlukan tanpa memaparkan informasi itu secara terang dalam berkas.
Dalam analisis payload, Huntress memanfaatkan Claude Opus 4.8 untuk emulasi shader, rekonstruksi mekanisme kriptografi, dan pemeriksaan kode .NET yang telah didekripsi. Peneliti kemudian menghubungkan FakeAgent dengan operasi SectopRAT atau pihak yang memiliki keterkaitan erat.
Kasus ini memperlihatkan bahwa tautan berlabel iklan pada hasil pencarian dapat menjadi pintu masuk serangan. Pengguna perlu memastikan unduhan aplikasi berasal dari situs atau portal resmi pengembang sebelum menjalankan berkas pemasangan.
