Aplikasi Claude Palsu dari Iklan Bing Sebarkan Malware SectopRAT

Kampanye malvertising di Bing terdeteksi mempromosikan aplikasi desktop Claude palsu yang digunakan untuk menyebarkan malware SectopRAT. Serangan ini memanfaatkan iklan pencarian berbayar dan halaman unduhan palsu untuk mengelabui pengguna yang sedang mencari aplikasi Claude.

Operasi berbahaya yang disebut FakeAgent ini setidaknya telah mengompromikan 29 organisasi dalam rentang 21 hingga 22 Juli 2026. Rantai serangannya memanfaatkan Claude Artifact berbahaya yang sempat di-host pada domain resmi Claude, sehingga tampak lebih meyakinkan bagi calon korban.

Peneliti keamanan menemukan bahwa Claude Artifact tersebut telah diunduh sekitar 7.100 kali sebelum akhirnya dihapus. Artifact itu mengarahkan pengunjung ke situs yang menyediakan installer palsu bernama ClaudeDesktop.exe.

Installer Palsu Memakai Komponen Sah untuk DLL Side-Loading

File yang ditawarkan sebagai aplikasi Claude bukan installer resmi. File tersebut merupakan komponen Chromium sah dari JetBrains yang disalahgunakan untuk melakukan DLL side-loading terhadap file berbahaya libcef.dll.

Melalui teknik ini, proses yang tampak legitimate dapat memuat DLL berbahaya dan mengeksekusi SectopRAT, sebuah remote access trojan yang memiliki kemampuan pencurian informasi. Persistence kemudian dibuat melalui executable lain bernama DockerDesktop.exe, yang memasang scheduled task di sistem korban.

Komponen loader dan staging yang digunakan dalam kampanye ini juga dilengkapi mekanisme anti-analysis. Beberapa teknik yang disebutkan mencakup VMProtect packing, shader timing checks, pemeriksaan GPU dan VRAM, serta deteksi virtual machine.

Bing Ads Jadi Jalur Distribusi

Distribusi lewat iklan pencarian membuat serangan ini lebih berbahaya karena pengguna sering menganggap hasil teratas sebagai sumber unduhan yang sah. Dalam kasus ini, iklan Bing mengarahkan pengguna ke alur unduhan palsu yang menyerupai aplikasi Claude desktop.

Malvertising seperti ini sering menargetkan pengguna yang ingin mengunduh software populer. Dengan membuat halaman yang tampak profesional dan memanfaatkan domain atau layanan sah, penyerang dapat meningkatkan peluang korban menjalankan file berbahaya.

SectopRAT Punya Kemampuan Info-Stealing dan HVNC

SectopRAT, yang juga dikenal sebagai ArechClient2, telah aktif sejak 2019. Malware ini dikenal sebagai information stealer dengan kemampuan HVNC (Hidden Virtual Network Computing), yang memungkinkan pelaku melakukan operasi jarak jauh dan berinteraksi secara real-time dengan sistem yang terinfeksi.

Data yang menjadi target mencakup password pengguna, data kartu kredit, file, login dan cookies browser, kredensial FTP, data dari aplikasi perpesanan seperti Discord dan Telegram, Steam, serta produk VPN.

Dalam kampanye ini, SectopRAT juga menggunakan teknik EtherHiding untuk mengambil alamat command-and-control (C2) yang aktif melalui transaksi Ethereum BNB Smart Chain. Teknik tersebut membantu pelaku menyembunyikan atau memperbarui infrastruktur C2 dengan memanfaatkan blockchain publik.

Infrastruktur Terkait Operasi Malware Lain

Analisis payload .NET yang didekripsi membantu peneliti mengaitkan serangan ini dengan operasi SectopRAT atau fork yang sangat berdekatan. Dari tahap tersebut, investigasi berlanjut ke analisis infrastruktur yang digunakan oleh pelaku.

Peneliti menemukan 10 domain yang didaftarkan menggunakan alamat email yang sama sejak Desember 2025. Salah satu domain tersebut sebelumnya pernah dikaitkan dengan distribusi StealC dan sempat disita dalam Operation Endgame.

Meski demikian, bukti yang tersedia belum cukup untuk mengaitkan kampanye FakeAgent dengan kelompok ancaman tertentu yang sudah dikenal. Untuk saat ini, atribusi kampanye tersebut masih terbuka.

Pengguna Harus Waspada pada Hasil Pencarian Bersponsor

Kasus ini kembali menunjukkan bahwa hasil pencarian bersponsor tidak selalu aman. Pengguna yang ingin mengunduh aplikasi sebaiknya mengetik alamat situs resmi secara langsung atau menggunakan portal unduhan yang benar-benar tepercaya.

Organisasi juga perlu memperkuat kontrol terhadap eksekusi file dari folder unduhan, memantau aktivitas DLL side-loading, dan mendeteksi scheduled task mencurigakan yang dibuat oleh executable dengan nama menyerupai aplikasi populer.

Untuk tim keamanan, kampanye ini menjadi pengingat bahwa aplikasi AI populer kini menjadi tema social engineering yang sangat efektif. Kombinasi iklan berbayar, halaman unduhan palsu, dan payload yang dilengkapi anti-analysis dapat membuat serangan semacam ini lolos dari pemeriksaan awal jika endpoint tidak diawasi dengan baik.

Sumber: Huntress