Una nueva campaña maliciosa está utilizando anuncios en el buscador Bing para distribuir una aplicación falsa de Claude. Esto permite a los cibercriminales distribuir el malware SectopRAT. Según la información ofrecida por investigadores de seguridad de Huntress, este software malicioso estaba alojado en el dominio legítimo Claude.ai y fue descargado 7100 veces antes de que lo retiraran. Han denominado a esta operación como FakeAgent.
Los atacantes redirigían a las víctimas a sitios web que alojaban el instalador falso llamado ClaudeDesktop.exe. Los investigadores han indicado que este archivo es un componente legítimo de JetBrains Chromium que carga una DLL maliciosa (libcef.dll) para distribuir el troyano de acceso remoto SectopRAT, que tiene capacidad de robo de información.
Según informan desde Bleeping Computer, el malware SectopRAT ya se había distribuido previamente mediante campañas de CastleLoader y ataques ClickFix. Esta amenaza, también conocida como ArechClient2, está activa desde 2019 y permite realizar operaciones remotas e interactuar en tiempo real con el sistema comprometido.
Este malware tiene capacidad para robar contraseñas del usuario, recopilar datos de tarjetas bancarias, robar archivos, datos de inicio de sesión, cookies del navegador, credenciales FTP y datos de clientes de mensajería.
Desde Huntress no cuentan con pruebas suficientes para atribuir esta campaña FakeAgent maliciosa a un grupo específico y conocido.
El ataque seguía una serie de pasos: la víctima buscaba la aplicación de Claude para escritorio; aparecía un anuncio patrocinado que apuntaba al dominio Claude.ai; la URL abría un Claude Artifact (página, documento o aplicación creada dentro de Claude) publicado de forma pública, el cual redirigía al usuario; la víctima descargaba ese supuesto instalador; y el instalador ejecutaba SectopRAT. Por tanto, la víctima pensaba que estaba instalando el software legítimo de Claude, pero en realidad estaba añadiendo un programa malicioso.
