Haitallisten Bing-mainosten kautta mainostettua väärennettyä Claude-sovellusta käytettiin SectopRAT-etäkäyttötroijalaisen levittämiseen. Kampanja ohjasi käyttäjät väärennetylle lataussivulle, jossa oli Claude Desktop ja vaaransi ainakin 29 organisaatiota 21. ja 22. heinäkuuta 2026 välisenä aikana.
Hyökkääjät hyödynsivät käyttäjien luomaa sisältöä laillisella verkkotunnuksella claude.ai luottamuksen rakentamiseksi. Vierailijat ohjattiin sitten hyökkääjien hallitsemille ulkoisille verkkosivustoille ja he levittivät SectopRAT-haittaohjelmaa.
Kampanjalle on annettu nimi FakeAgent, ja sitä kuvataan seuraavasti: tekninen analyysi tietoturvayritys Huntressiltä. Hyökkääjät julkaisivat väärennetyn latausportaalin käyttäjän luomana Claude Artifactina Anthropicin laillisella verkkotunnuksella.
Menetelmä teki kampanjasta erityisen vakuuttavan, koska sponsoroidun Bing-tuloksen linkki johti itse asiassa claude.ai-sivustolle, mikä esitti väärennetyn Claude-sovelluksen tulevan laillisesta ja luotettavasta lähteestä.
Samankaltaisia menetelmiä käytetään niin kutsutuissa ClickFix-hyökkäyksissä, joissa käyttäjiä manipuloidaan lataamaan tai suorittamaan haitallisia tiedostoja ja komentoja itse päivityksen asentamisen, teknisen ongelman ratkaisemisen tai henkilöllisyytensä varmentamisen verukkeella.
Tämä ei ole ensimmäinen kerta, kun kyberrikolliset ovat hyödyntäneet Anthropicin tekoälypalveluun kohdistuvaa luottamusta. IT-ala on aiemmin raportoinut siitä, miten Claude.ai-haittaohjelmaa hyödynnettiin Google Adsin kautta tehdyssä haittaohjelmakampanjassa ja jos yksi väärennetty Claude AI -kampanja, joka levitti edistyneitä haittaohjelmia.
Väärennetty Claude-sovellus leviää Claude.ai:n kautta
Huntress havaitsi, että haitallinen Claude Artifact -sisältö oli saanut noin 7 100 sivulatausta ennen kuin Anthropic poisti sen.
Sivu oli suunniteltu jäljittelemään laillista Claude Desktopin latausportaalia. Kun käyttäjä napsautti ohjelman latauspainiketta, hänet ohjattiin hyökkääjien hallitsemille ulkoisille verkkotunnuksille.
Vierailijat ohjattiin ensin verkkotunnukseen claude.ai.lataa-sovellus[.]us ja sitten edelleen infrastruktuuriin, joka toimitti tiedoston nimeltä ClaudeDesktop.exe.
Tiedosto vaikutti olevan laillinen Claude Desktopin asennusohjelma, mutta todellisuudessa se käynnisti hyökkäysketjun, joka johti SectopRATin asentamiseen.
ClaudeDesktop.exe oli itse asiassa JetBrainsin uudelleennimetty laillinen komponentti nimeltä jcef_helper.exe. Komponentti perustuu Chromium Embedded Frameworkiin ja se sijoitettiin yhdessä manipuloidun DLL-tiedoston kanssa nimeltä libcef.dll-tiedosto.
Laillista ja allekirjoitettua komponenttia käytettiin manipuloidun DLL-tiedoston lataamiseen. Tekniikkaa kutsutaan DLL-sivulataukseksi, ja siinä luotettava suoritettava tiedosto huijataan lataamaan haitallista koodia sovelluksen polkuun sijoitetusta DLL-tiedostosta.
Käyttämällä laillista sovellusta väärin hyökkääjät voivat saada toiminnan näyttämään vähemmän epäilyttävältä, mikä vaikeuttaa havaitsemista perinteisillä tietoturvaratkaisuilla.
Manipuloitua DLL-tiedostoa käytettiin SectopRATin, etäkäyttötroijalaisen, jolla on laajat tietovarkausominaisuudet, lataamiseen ja asentamiseen.
Aikataulutettu toiminta varmistaa pysyvyyden
Päästäkseen käsiksi vaarantuneeseen järjestelmään hyökkääjät käyttivät toista suoritettavaa tiedostoa nimeltä DockerDesktop.exe-tiedosto.
Tiedosto loi ajoitetun tehtävän Windowsissa ja se voitiin siten käynnistää uudelleen tartuttaakseen tietokoneen uudelleen. Huntressin mukaan, ClaudeDesktop.exe ja DockerDesktop.exe-tiedosto pohjimmiltaan identtiset, mutta niitä käytetään hyökkäysketjun eri osissa.
Erilaiset hyötykuorma- ja väliohjelmistokomponentit sisälsivät useita ominaisuuksia, jotka vaikeuttivat tietoturva-analyysiä ja estivät haittaohjelman suorittamisen virtuaalisissa analyysiympäristöissä.
Menetelmiin kuuluivat VMProtect-pakkausten tarkistukset, näytönohjaimen ja videomuistin tarkistukset, DirectX-shaderien suoritusnopeuden mittaaminen sekä virtuaalikoneiden ja hiekkalaatikoiden tunnistaminen.
Haittaohjelma saattoi muun muassa tarkistaa, oliko järjestelmässä alle 1 Gt videomuistia tai sisälsikö näytönohjain VMwareen, QEMUun ja muihin virtualisointialustoihin liittyviä ominaisuuksia.
Se suoritti myös aikaan perustuvan laskentatehostevarjostimen testin. Jos testi suoritettiin epätavallisen nopeasti, se saattoi viitata siihen, että ohjelmaa analysoitiin emulaattorissa tai automatisoidussa tietoturvaympäristössä.
Jos järjestelmää pidettiin virtuaalisena analyysiympäristönä, haitallinen hyötykuorma voisi pidättäytyä toimimasta, jolloin hyökkääjät voisivat välttää tietoturvatutkijoiden havaitsemisen ja analysoinnin.
SectopRAT varastaa salasanoja ja maksutietoja
SectopRAT, joka tunnetaan myös nimellä ArechClient2, on ollut aktiivinen vuodesta 2019 lähtien. Haittaohjelma yhdistää tietovarkauden HVNC-toimintoihin eli piilotettuun virtuaaliverkkolaskentaan.
Tämä tarkoittaa, että hyökkääjä voi etäohjata ja olla vuorovaikutuksessa vaarantuneen järjestelmän kanssa reaaliajassa. Samalla osia toiminnasta voidaan piilottaa käyttäjältä, jos hyökkääjä työskentelee erillisessä ja näkymättömässä työpöytäistunnossa.
SectopRAT voi kerätä muun muassa käyttäjien salasanoja, maksu- ja luottokorttitietoja, tiedostoja, selaimen kirjautumistietoja, evästeitä ja automaattisesti täytettyjä lomakkeita.
Haittaohjelma voi myös varastaa FTP-kirjautumistietoja ja muita tietoja viestipalveluista, kuten Discord ja Telegram, sekä kohdistaa hyökkäyksiä Steam-tileihin ja erilaisiin VPN-tuotteisiin.
Puretun .NET-komponentin analyysi paljasti viittauksia selaimen kirjautumisiin, evästeisiin, luottokorttitietoihin, FTP-palveluihin ja useisiin viestintäohjelmiin.
Tutkijat tunnistivat myös toimintoja, joilla kerättiin tartunnan saaneesta järjestelmästä henkilökohtaisia tietoja ja tiedostoja, jotka sitten voitiin lähettää hyökkääjien komento- ja ohjausinfrastruktuuriin.
Huntress arvioi, että hyötykuorma on SectopRAT tai läheisesti sukua oleva haittaohjelmaperheen variantti.
Komento- ja ohjausosoite oli piilotettu lohkoketjuun
Hyökkäyksessä käytettiin myös EtherHiding-teknologiaa nykyisten komento- ja ohjausosoitteiden, niin sanottujen C2-osoitteiden, hakemiseen.
Tiedot tallennettiin transaktioihin ja älysopimuksiin BNB Smart Chainissa. Sijoittamalla salattuja C2-tietoja julkiseen lohkoketjuun hyökkääjät pystyivät nopeasti vaihtamaan palvelimia ja vaikeuttamaan infrastruktuurin sammuttamista.
Sen sijaan, että hyökkääjä koodaisi pysyvän palvelinosoitteen suoraan haittaohjelmaan, hän voisi julkaista uuden transaktion, joka osoittaa uudelle C2-palvelimelle.
Haittaohjelma luki sitten tiedot lohkoketjusta, purki niiden salauksen ja muodosti yhteyden asiaankuuluvaan palvelimeen.
Teknologia loi joustavan viestintäkanavan, koska turvallisuusyritysten, internet-palveluntarjoajien ja hallitusten on vaikea poistaa tai muuttaa julkisessa lohkoketjussa jo julkaistuja tietoja.
Huntress onnistui lopulta tunnistamaan aktiivisen C2-osoitteen analysoimalla ja purkamalla BNB Smart Chain -tapahtumiin tallennetut tiedot.
Huntress käytti Claudea analyysityössä
Epätavallisessa käänteessä Huntress itse käytti Claudea kampanjan analysointiin ja useiden haittaohjelman teknisten suojausten ohittamiseen.
Tekoälymalli avusti tietoturvatutkijoita shader-emuloinnissa, kryptografisten funktioiden rekonstruoinnissa ja voimakkaasti hämärretyn .NET-koodin analysoinnissa.
Tutkijat muun muassa rakensivat oman tulkkinsa SM5-tavukoodille ja loivat uudelleen osia muokatusta AES-256-CTR-algoritmista, jota käytettiin haittaohjelman hyötykuorman salauksen purkamiseen.
Haitallinen komponentti käytti DirectX-shader-toimintoa salauksen purkuprosessissa. Siirtämällä työn näytönohjaimelle hyökkääjät vaikeuttivat merkittävästi perinteisten työkalujen, jotka ensisijaisesti tutkivat suorittimen ohjeita ja yleisiä kryptografisia funktioita, analysointia.
Puretun .NET-hyötysisällön analyysi mahdollisti tutkijoiden tunnistaa haittaohjelman SectopRATiksi tai läheisesti sukua olevaksi variantiksi. Tulosten perusteella tutkijat pystyivät myös kartoittamaan osia hyökkääjien infrastruktuurista.
Huntress korostaa myös ihmisen tekemän tarkastelun tärkeyttä. Tekoälymalli pystyi avustamaan useissa teknisesti edistyneissä analyysin osissa, mutta tutkijoiden piti tarkistaa ja korjata tulokset manuaalisesti ennen kuin hyötykuorma voitiin purkaa ja analysoida.
Kymmenen verkkotunnusta oli linkitetty samaan sähköpostiosoitteeseen
Tutkijat tunnistivat kymmenen verkkotunnusta, jotka oli rekisteröity samalla sähköpostiosoitteella joulukuusta 2025 lähtien.
Ainakin yksi verkkotunnuksista oli aiemmin yhdistetty tietovaras StealC:n levittämiseen, ja se takavarikoitiin kansainvälisen operaation yhteydessä. Operaatio Loppupeli.
Operaatio Endgame on kansainvälinen operaatio, joka kohdistuu bottiverkkoihin, latausohjelmiin ja muuhun infrastruktuuriin, jota käytetään haittaohjelmien levittämiseen, tietojen varastamiseen ja kiristysohjelmahyökkäysten mahdollistamiseen.
Huntress pystyi myös yhdistämään rekisteröintitiedot aiempaan kampanjaan, jossa Docker Desktopin väärennettyä asennusta käytettiin haittaohjelmien levittämiseen samankaltaisilla menetelmillä.
Lisäksi analysoimalla BNB Smart Chainin tapahtumia tutkijat pystyivät kartoittamaan komento- ja valvontainfrastruktuurin toukokuuhun 2025 asti.
Huntressilla ei kuitenkaan ole riittävästi todisteita FakeAgent-kampanjan yhdistämiseksi mihinkään tiettyyn ja aiemmin tunnettuun uhkatoimijaan tai kyberrikollisryhmään.
Vältä sponsoroituja latauslinkkejä
Tapaus osoittaa, että laillinen verkkotunnus ei automaattisesti tarkoita, että kaikki verkkotunnuksella oleva sisältö on turvallista. Käyttäjien luomaa sisältöä luotettavilla alustoilla voidaan väärinkäyttää vakuuttavien tietojenkalastelu- ja haittaohjelmakampanjoiden luomiseen.
Käyttäjien, jotka haluavat ladata ohjelmistoja, tulisi mennä suoraan valmistajan viralliselle verkkosivustolle ja tarkistaa latauslinkki sponsoroitujen hakutulosten sijaan.
Claude Desktopin saa ladata vain täältä Anthropicin viralliset asennusohjeet tai yrityksen viralliselta lataussivulta.
Organisaatioiden tulisi myös käyttää sovellusten hallintaa, päätepisteiden suojausta ja selkeitä sääntöjä siitä, miten ohjelmistoja saa ladata ja asentaa yrityksen laitteisiin.
Tietoturvatiimien tulisi olla valppaina epätavallisten ohjelmistoasennusten, uusien ajoitettujen tehtävien, Microsoft Defenderin asetusten muutosten ja tuntemattomia DLL-tiedostoja lataavien laillisten sovellusten varalta.
Erityistä varovaisuutta on noudatettava mainosten suhteen, jotka tarjoavat suosittujen tekoälytyökalujen, tietoturvaohjelmistojen, selainten ja muiden yleisesti käytettyjen sovellusten latauksia.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch