Eine gefälschte Claude-App, die über betrügerische Bing-Anzeigen beworben wurde, diente zur Verbreitung des Remote-Access-Trojaners SectopRAT. Die Kampagne leitete Nutzer auf eine gefälschte Downloadseite für Claude Desktop und kompromittierte zwischen dem 21. und 22. Juli 2026 mindestens 29 Organisationen.
Die Angreifer nutzten nutzergenerierte Inhalte auf der legitimen Domain aus. claude.ai Um Vertrauen aufzubauen, wurden die Besucher anschließend auf externe, von den Angreifern kontrollierte Webseiten weitergeleitet, auf denen die SectopRAT-Malware verbreitet wurde.
Die Kampagne trägt den Namen FakeAgent und wird in folgender Beschreibung dargestellt: Technische Analyse des Sicherheitsunternehmens Huntress. Die Angreifer veröffentlichten ein gefälschtes Downloadportal als benutzergeneriertes Claude-Artefakt auf der legitimen Domain von Anthropic.
Die Methode machte die Kampagne besonders überzeugend, da der Link im gesponserten Bing-Ergebnis tatsächlich zu claude.ai führte und die gefälschte Claude-App somit als von einer legitimen und vertrauenswürdigen Quelle stammend dargestellt wurde.
Ähnliche Methoden kommen bei sogenannten ClickFix-Angriffen zum Einsatz, bei denen Benutzer dazu verleitet werden, selbst schädliche Dateien und Befehle herunterzuladen oder auszuführen, unter dem Vorwand, ein Update zu installieren, ein technisches Problem zu beheben oder ihre Identität zu überprüfen.
Dies ist nicht das erste Mal, dass Cyberkriminelle das Vertrauen in den KI-Dienst von Anthropic ausgenutzt haben. Die IT-Branche hat bereits zuvor darüber berichtet, wie… Claude.ai wurde im Rahmen einer Malware-Kampagne über Google Ads ausgenutzt. und wenn man Gefälschte Claude-KI-Kampagne, die hochentwickelte Schadsoftware verbreitete.
Gefälschte Claude-App verbreitet sich über Claude.ai
Huntress entdeckte, dass der schädliche Inhalt „Claude Artifact“ rund 7.100 Seitenaufrufe erzielt hatte, bevor Anthropic ihn entfernte.
Die Seite war so gestaltet, dass sie einem legitimen Downloadportal für Claude Desktop nachempfunden war. Sobald der Benutzer auf den Download-Button klickte, wurde er auf externe, von den Angreifern kontrollierte Domains weitergeleitet.
Die Besucher wurden zunächst auf die Domain weitergeleitet. claude.ai.download-app[.]us und dann weiter zur Infrastruktur, die eine Datei mit dem Namen lieferte ClaudeDesktop.exe.
Die Datei schien ein legitimes Installationsprogramm für Claude Desktop zu sein, löste aber tatsächlich eine Angriffskette aus, die zur Installation von SectopRAT führte.
ClaudeDesktop.exe Es handelte sich tatsächlich um eine umbenannte, legitime Komponente von JetBrains mit dem Namen jcef_helper.exe. Die Komponente basiert auf dem Chromium Embedded Framework und wurde zusammen mit einer manipulierten DLL-Datei namens „Chromium Embedded Framework“ platziert. libcef.dll.
Die legitime und signierte Komponente wurde verwendet, um die manipulierte DLL-Datei zu laden. Diese Technik wird als DLL-Sideloading bezeichnet und beinhaltet das Verleiten einer vertrauenswürdigen ausführbaren Datei dazu, Schadcode aus einer DLL-Datei zu laden, die sich im Suchpfad der Anwendung befindet.
Durch den Missbrauch einer legitimen Anwendung könnten Angreifer die Aktivität weniger verdächtig erscheinen lassen und dadurch die Erkennung für herkömmliche Sicherheitslösungen erschweren.
Die manipulierte DLL-Datei wurde verwendet, um SectopRAT herunterzuladen und zu installieren, einen Remote-Access-Trojaner mit umfangreichen Möglichkeiten zum Informationsdiebstahl.
Geplante Aktivitäten gewährleisten Beständigkeit
Um den Zugriff auf das kompromittierte System aufrechtzuerhalten, verwendeten die Angreifer eine weitere ausführbare Datei mit dem Namen DockerDesktop.exe.
Die Datei erstellte einen geplanten Task in Windows und konnte somit erneut gestartet werden, um den Computer erneut zu infizieren. Laut Huntress ClaudeDesktop.exe Und DockerDesktop.exe Im Grunde sind sie identisch, werden aber in verschiedenen Teilen der Angriffskette eingesetzt.
Die verschiedenen Payload- und Middleware-Komponenten enthielten mehrere Merkmale, die die Sicherheitsanalyse erschwerten und die Ausführung der Malware in virtuellen Analyseumgebungen verhinderten.
Zu den Methoden gehörten VMProtect-Paketierung, GPU- und Videospeicherprüfungen, die Messung der Ausführungsgeschwindigkeit von DirectX-Shadern sowie die Identifizierung von virtuellen Maschinen und Sandboxes.
Unter anderem konnte die Malware überprüfen, ob das System über weniger als 1 GB Videospeicher verfügte oder ob die Grafikhardware Merkmale aufwies, die mit VMware, QEMU und anderen Virtualisierungsplattformen in Verbindung stehen.
Es wurde auch ein zeitbasierter Test eines Compute-Shaders durchgeführt. Falls der Test ungewöhnlich schnell ablief, könnte dies darauf hindeuten, dass das Programm in einem Emulator oder einer automatisierten Sicherheitsumgebung analysiert wurde.
Wenn das System als virtuelle Analyseumgebung eingestuft würde, könnte die schädliche Nutzlast nicht ausgeführt werden, wodurch die Angreifer der Entdeckung und Analyse der Aktivitäten durch Sicherheitsforscher entgehen könnten.
SectopRAT stiehlt Passwörter und Zahlungsdaten
SectopRAT, auch bekannt als ArechClient2, ist seit 2019 aktiv. Die Malware kombiniert Informationsdiebstahl mit HVNC-Funktionalität (Hidden Virtual Network Computing).
Dies bedeutet, dass der Angreifer das kompromittierte System in Echtzeit fernsteuern und mit ihm interagieren kann. Gleichzeitig kann er Teile dieser Aktivitäten vor dem Benutzer verbergen, indem er in einer separaten, unsichtbaren Desktop-Sitzung arbeitet.
SectopRAT kann unter anderem Benutzerpasswörter, Zahlungs- und Kreditkartendaten, Dateien, Browser-Logins, Cookies und automatisch ausgefüllte Formulardaten sammeln.
Die Malware kann außerdem FTP-Zugangsdaten und Informationen von Messaging-Diensten wie Discord und Telegram stehlen sowie Steam-Konten und verschiedene VPN-Produkte angreifen.
Die Analyse der entschlüsselten .NET-Komponente ergab Verweise auf Browser-Logins, Cookies, Kreditkartendaten, FTP-Dienste und verschiedene Messaging-Clients.
Die Forscher identifizierten außerdem Funktionen, mit denen persönliche Daten und Dateien aus dem infizierten System gesammelt und anschließend an die Kommando- und Kontrollinfrastruktur der Angreifer gesendet werden können.
Huntress schätzt ein, dass es sich bei der Nutzlast um SectopRAT oder eine eng verwandte Variante dieser Malware-Familie handelt.
Die Kommando- und Kontrolladresse war in der Blockchain verborgen.
Bei dem Angriff wurde auch die EtherHiding-Technologie eingesetzt, um aktuelle Kommando- und Kontrolladressen, sogenannte C2-Adressen, zu ermitteln.
Die Informationen wurden in Transaktionen und Smart Contracts auf der BNB Smart Chain gespeichert. Durch die Speicherung verschlüsselter C2-Informationen auf einer öffentlichen Blockchain konnten Angreifer schnell die Server wechseln und die Infrastruktur schwerer abschalten.
Anstatt eine permanente Serveradresse direkt in die Malware einzuprogrammieren, könnte der Angreifer eine neue Transaktion veröffentlichen, die auf einen neuen C2-Server verweist.
Die Schadsoftware las dann die Informationen aus der Blockchain, entschlüsselte sie und stellte eine Verbindung zum entsprechenden Server her.
Durch die Technologie wurde ein widerstandsfähiger Kommunikationskanal geschaffen, da es für Sicherheitsunternehmen, Internetanbieter und Regierungen schwierig ist, Informationen zu entfernen oder zu ändern, die bereits auf einer öffentlichen Blockchain veröffentlicht wurden.
Huntress gelang es schließlich, eine aktive C2-Adresse zu identifizieren, indem sie die in den BNB Smart Chain-Transaktionen gespeicherten Informationen analysierte und entschlüsselte.
Huntress nutzte Claude in der Analysearbeit.
In einer ungewöhnlichen Wendung nutzte Huntress selbst Claude, um die Kampagne zu analysieren und mehrere technische Schutzmechanismen der Malware zu umgehen.
Das KI-Modell unterstützte Sicherheitsforscher bei der Shader-Emulation, der Rekonstruktion kryptografischer Funktionen und der Analyse stark verschleierten .NET-Codes.
Unter anderem bauten die Forscher einen eigenen Interpreter für SM5-Bytecode und rekonstruierten Teile des modifizierten AES-256-CTR-Algorithmus, der zur Entschlüsselung der Nutzlast der Malware verwendet wurde.
Die Schadkomponente nutzte für Teile des Entschlüsselungsprozesses einen DirectX-Shader. Durch die Verlagerung der Rechenleistung auf die GPU erschwerten die Angreifer die Analyse für herkömmliche Tools, die primär CPU-Befehle und gängige kryptografische Funktionen untersuchen, erheblich.
Die Analyse der entschlüsselten .NET-Nutzdaten ermöglichte es den Forschern, die Malware als SectopRAT oder eine eng verwandte Variante zu identifizieren. Die Ergebnisse erlaubten es den Forschern außerdem, Teile der Infrastruktur der Angreifer zu kartieren.
Huntress betont zudem die Wichtigkeit der menschlichen Überprüfung. Das KI-Modell konnte zwar bei einigen technisch anspruchsvollen Teilen der Analyse helfen, doch die Forscher mussten die Ergebnisse manuell überprüfen und korrigieren, bevor die Nutzdaten entschlüsselt und analysiert werden konnten.
Zehn Domains waren mit derselben E-Mail-Adresse verknüpft.
Die Forscher identifizierten zehn Domains, die seit Dezember 2025 mit derselben E-Mail-Adresse registriert waren.
Mindestens eine der Domains war zuvor mit der Verbreitung des Datendiebs StealC in Verbindung gebracht worden und wurde im Zusammenhang mit der internationalen Operation beschlagnahmt. Operation Endgame.
Operation Endgame ist eine internationale Initiative, die auf Botnetze, Loader und andere Infrastrukturen abzielt, die zur Verbreitung von Schadsoftware, zum Diebstahl von Informationen und zur Ermöglichung von Ransomware-Angriffen verwendet werden.
Huntress konnte die Registrierungsdaten auch mit einer früheren Kampagne in Verbindung bringen, bei der eine gefälschte Installation von Docker Desktop verwendet wurde, um Malware mit ähnlichen Methoden zu verbreiten.
Darüber hinaus konnten die Forscher durch die Analyse von Transaktionen auf der BNB Smart Chain die Kommando- und Kontrollinfrastruktur bis Mai 2025 zurückverfolgen.
Allerdings verfügt Huntress nicht über genügend Beweise, um die FakeAgent-Kampagne mit einem bestimmten und zuvor bekannten Bedrohungsakteur oder einer Cyberkriminellengruppe in Verbindung zu bringen.
Vermeiden Sie gesponserte Download-Links
Der Vorfall zeigt, dass eine legitime Domain nicht automatisch bedeutet, dass alle Inhalte auf dieser Domain sicher sind. Nutzergenerierte Inhalte auf vertrauenswürdigen Plattformen können missbraucht werden, um überzeugende Phishing- und Malware-Kampagnen zu erstellen.
Nutzer, die Software herunterladen müssen, sollten direkt auf die offizielle Website des Anbieters gehen und den Download-Link überprüfen, anstatt sich auf gesponserte Suchergebnisse zu verlassen.
Claude Desktop sollte nur über Offizielle Installationsanleitung von Anthropic oder die offizielle Downloadseite des Unternehmens.
Organisationen sollten außerdem Anwendungskontrolle, Endpunktschutz und klare Regeln für das Herunterladen und Installieren von Software auf Firmengeräten einsetzen.
Sicherheitsteams sollten auf ungewöhnliche Softwareinstallationen, neue geplante Aufgaben, Änderungen an den Microsoft Defender-Einstellungen und das Laden unbekannter DLL-Dateien durch legitime Anwendungen achten.
Besondere Vorsicht ist geboten bei Anzeigen, die Downloads von beliebten KI-Tools, Sicherheitssoftware, Browsern und anderen häufig verwendeten Anwendungen anbieten.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch