Uma campanha de malvertising no serviço de busca Bing está promovendo um falso instalador do aplicativo desktop do Claude, hospedado em um domínio legítimo da Anthropic, para entregar o trojan de acesso remoto SectopRAT. A operação, batizada de FakeAgent pelos pesquisadores da Huntress, comprometeu pelo menos 29 organizações entre 21 e 22 de julho, conforme comunicado da empresa de segurança.
O artefato malicioso, baixado 7.100 vezes antes da Anthropic removê-lo, redirecionava visitantes para sites que hospedavam o instalador falso. O arquivo executável, porém, é um componente legítimo da JetBrains Chromium que carrega uma DLL maliciosa (libcef.dll) para entregar o SectopRAT, que possui capacidades de roubo de informações, segundo análise da Huntress. A persistência no sistema é obtida por meio de outro executável, que instala uma tarefa agendada.
Técnicas de evasão e alvos do malware
Os componentes da cadeia de infecção apresentam mecanismos anti-análise, incluindo empacotamento VMProtect, verificações de tempo de shader, detecção de GPU e VRAM e identificação de máquinas virtuais. O SectopRAT, ativo desde 2019, utiliza a técnica EtherHiding para recuperar endereços de comando e controle via transações na blockchain Ethereum BNB Smart Chain.
O malware, também conhecido como ArechClient2, possui funcionalidade HVNC (Hidden Virtual Network Computing), permitindo operações remotas e interação em tempo real com o sistema comprometido. Ele visa senhas, dados de cartão de crédito, arquivos, logins e cookies de navegadores, credenciais FTP, dados de clientes de mensagens (Discord, Telegram), Steam e produtos VPN, detalharam os pesquisadores.
Atribuição e recomendações
A Huntress utilizou o Claude Opus 4.8 para auxiliar na emulação de shader, reconstrução criptográfica e análise de código .NET durante a investigação. A análise do payload decriptografado permitiu atribuir os ataques às operações do SectopRAT ou a uma variante próxima, revelando 10 domínios registrados desde dezembro de 2025, sendo um deles previamente ligado à distribuição do StealC e apreendido na Operação Endgame. A Huntress não possui evidências suficientes para atribuir a campanha a um cluster de ameaças conhecido.
A empresa recomenda que usuários busquem software em sites oficiais e portais de download confiáveis, em vez de resultados de busca patrocinados.
