Falsk Claude-app i Bing-annonser sprider SectopRAT

En falsk Claude-app som marknadsfördes via skadliga Bing-annonser användes för att sprida fjärråtkomsttrojanen SectopRAT. Kampanjen ledde användare till en falsk nedladdningssida för Claude Desktop och komprometterade minst 29 organisationer mellan den 21 och 22 juli 2026.

Angriparna utnyttjade användarskapat innehåll på den legitima domänen claude.ai för att skapa förtroende. Besökarna dirigerades därefter vidare till externa webbplatser som kontrollerades av angriparna och distribuerade skadeprogrammet SectopRAT.

Kampanjen har fått namnet FakeAgent och beskrivs i en teknisk analys från säkerhetsföretaget Huntress. Angriparna publicerade en falsk nedladdningsportal som ett användarskapat Claude Artifact på Anthropics legitima domän.

Metoden gjorde kampanjen särskilt övertygande eftersom länken i det sponsrade Bing-resultatet faktiskt ledde till claude.ai. Den falska Claude-appen presenterades därför som om den kom från en legitim och betrodd källa.

Liknande metoder används i så kallade ClickFix-attacker, där användare manipuleras att själva ladda ned eller köra skadliga filer och kommandon under förevändning att de installerar en uppdatering, löser ett tekniskt problem eller verifierar sin identitet.

Det är inte första gången cyberkriminella utnyttjar förtroendet för Anthropics AI-tjänst. IT-Branschen har tidigare rapporterat om hur Claude.ai utnyttjades i en malwarekampanj via Google Ads och om en falsk Claude AI-kampanj som spred avancerad skadlig kod.

Falsk Claude-app spreds via Claude.ai

Huntress upptäckte att det skadliga Claude Artifact-innehållet hade fått omkring 7 100 sidvisningar innan Anthropic tog bort det.

Sidan var utformad för att efterlikna en legitim nedladdningsportal för Claude Desktop. När användaren klickade på knappen för att ladda ned programmet skickades denne vidare till externa domäner som kontrollerades av angriparna.

Besökarna dirigerades först till domänen claude.ai.download-app[.]us och därefter vidare till ytterligare infrastruktur som levererade en fil med namnet ClaudeDesktop.exe.

Filen såg ut att vara ett legitimt installationsprogram för Claude Desktop, men startade i själva verket en attackkedja som ledde till installation av SectopRAT.

ClaudeDesktop.exe var egentligen en omdöpt legitim komponent från JetBrains med namnet jcef_helper.exe. Komponenten bygger på Chromium Embedded Framework och placerades tillsammans med en manipulerad DLL-fil med namnet libcef.dll.

Den legitima och signerade komponenten användes för att läsa in den manipulerade DLL-filen. Tekniken kallas DLL-sideloading och innebär att en betrodd körbar fil förmås att läsa in skadlig kod från en DLL-fil som placerats i programmets sökväg.

Genom att missbruka en legitim applikation kunde angriparna få aktiviteten att se mindre misstänkt ut och därmed försvåra upptäckten för traditionella säkerhetslösningar.

Den manipulerade DLL-filen användes för att ladda ned och installera SectopRAT, en fjärråtkomsttrojan med omfattande funktioner för informationsstöld.

Schemalagd aktivitet säkerställer persistens

För att behålla åtkomsten till det komprometterade systemet använde angriparna ytterligare en körbar fil med namnet DockerDesktop.exe.

Filen skapade en schemalagd aktivitet i Windows och kunde därmed startas igen för att återinfektera datorn. Enligt Huntress är ClaudeDesktop.exe och DockerDesktop.exe i grunden identiska, men de används i olika delar av attackkedjan.

De olika laddnings- och mellanledskomponenterna innehöll flera funktioner som skulle försvåra säkerhetsanalys och förhindra att skadeprogrammet kördes i virtuella analysmiljöer.

Bland metoderna fanns VMProtect-paketering, kontroller av grafikprocessor och videominne, mätning av hur snabbt DirectX-shaders kördes samt identifiering av virtuella maskiner och sandlådor.

Skadeprogrammet kunde bland annat kontrollera om systemet hade mindre än 1 GB videominne eller om grafikhårdvaran innehöll kännetecken som förknippas med VMware, QEMU och andra virtualiseringsplattformar.

Det genomförde dessutom ett tidsbaserat test av en beräkningsshader. Om testet kördes onormalt snabbt kunde det tyda på att programmet analyserades i en emulator eller automatiserad säkerhetsmiljö.

Om systemet bedömdes vara en virtuell analysmiljö kunde den skadliga nyttolasten avstå från att köras. På så sätt försökte angriparna undvika att aktiviteten upptäcktes och analyserades av säkerhetsforskare.

SectopRAT stjäl lösenord och betalningsuppgifter

SectopRAT, som även är känt under namnet ArechClient2, har varit aktivt sedan 2019. Skadeprogrammet kombinerar informationsstöld med HVNC-funktionalitet, Hidden Virtual Network Computing.

Det innebär att angriparen kan fjärrstyra och interagera med det komprometterade systemet i realtid. Delar av aktiviteten kan samtidigt döljas för användaren genom att angriparen arbetar i en separat och osynlig skrivbordssession.

SectopRAT kan bland annat samla in användarlösenord, betal- och kreditkortsuppgifter, filer, webbläsarinloggningar, cookies och automatiskt ifyllda formulärdata.

Skadeprogrammet kan även stjäla FTP-inloggningar och information från meddelandetjänster som Discord och Telegram samt rikta in sig på Steam-konton och olika VPN-produkter.

Analysen av den dekrypterade .NET-komponenten visade referenser till webbläsarinloggningar, cookies, kreditkortsuppgifter, FTP-tjänster och olika meddelandeklienter.

Forskarna identifierade även funktioner för att samla in personuppgifter och filer från det infekterade systemet. Informationen kunde därefter skickas till angriparnas kommando- och kontrollinfrastruktur.

Huntress bedömer att nyttolasten är SectopRAT eller en närbesläktad variant av skadeprogramsfamiljen.

Kommando- och kontrolladress doldes i blockkedjan

Attacken använde även tekniken EtherHiding för att hämta aktuella kommando- och kontrolladresser, så kallade C2-adresser.

Informationen lagrades i transaktioner och smarta kontrakt på BNB Smart Chain. Genom att placera krypterad C2-information i en offentlig blockkedja kunde angriparna snabbt byta server och göra infrastrukturen svårare att stänga ned.

I stället för att hårdkoda en permanent serveradress direkt i skadeprogrammet kunde angriparen publicera en ny transaktion som pekade mot en ny C2-server.

Skadeprogrammet läste därefter informationen från blockkedjan, dekrypterade den och anslöt till den aktuella servern.

Tekniken skapade en motståndskraftig kommunikationskanal eftersom det är svårt för säkerhetsföretag, internetleverantörer och myndigheter att ta bort eller ändra information som redan har publicerats i en offentlig blockkedja.

Huntress lyckades slutligen identifiera en aktiv C2-adress genom att analysera och dekryptera informationen som lagrats i BNB Smart Chain-transaktionerna.

Huntress använde Claude i analysarbetet

I en ovanlig vändning använde Huntress själv Claude för att analysera kampanjen och ta sig förbi flera av skadeprogrammets tekniska skydd.

AI-modellen hjälpte säkerhetsforskarna med emulering av shaders, rekonstruktion av kryptografiska funktioner och analys av kraftigt obfuskerad .NET-kod.

Forskarna byggde bland annat en egen tolk för SM5-bytecode och återskapade delar av den modifierade AES-256-CTR-algoritm som användes för att dekryptera skadeprogrammets nyttolast.

Den skadliga komponenten använde en DirectX-shader för delar av dekrypteringsprocessen. Genom att flytta arbetet till grafikprocessorn gjorde angriparna analysen betydligt svårare för traditionella verktyg som främst granskar CPU-instruktioner och vanliga kryptografiska funktioner.

Analysen av den dekrypterade .NET-nyttolasten gjorde det möjligt att identifiera skadeprogrammet som SectopRAT eller en närbesläktad variant. Resultatet gjorde det även möjligt för forskarna att kartlägga delar av angriparnas infrastruktur.

Huntress betonar samtidigt betydelsen av mänsklig granskning. AI-modellen kunde hjälpa till med flera tekniskt avancerade delar av analysen, men forskarna behövde manuellt kontrollera och korrigera resultaten innan nyttolasten kunde dekrypteras och analyseras.

Tio domäner kopplades till samma e-postadress

Forskarna identifierade tio domäner som hade registrerats med samma e-postadress sedan december 2025.

Minst en av domänerna hade tidigare kopplats till distribution av informationsstjälaren StealC och beslagtagits i samband med den internationella insatsen Operation Endgame.

Operation Endgame är en internationell insats som riktar sig mot botnät, laddningsprogram och annan infrastruktur som används för att distribuera skadeprogram, stjäla information och möjliggöra ransomware-attacker.

Huntress kunde även koppla registreringsuppgifterna till en tidigare kampanj där en falsk installation av Docker Desktop användes för att sprida skadlig kod med liknande metoder.

Genom att analysera transaktionerna på BNB Smart Chain kunde forskarna dessutom kartlägga kommando- och kontrollinfrastruktur som sträckte sig tillbaka till maj 2025.

Microsoft har tidigare beskrivit hur innovation och AI används för att skala upp internationella insatser mot cyberbrottslighet.

Huntress har dock inte tillräckligt med bevis för att koppla FakeAgent-kampanjen till någon specifik och sedan tidigare känd hotaktör eller cyberkriminell grupp.

Undvik sponsrade nedladdningslänkar

Händelsen visar att en legitim domän inte automatiskt innebär att allt innehåll på domänen är säkert. Användarskapat material på betrodda plattformar kan missbrukas för att skapa övertygande nätfiske- och skadeprogramskampanjer.

Användare som behöver ladda ned programvara bör gå direkt till leverantörens officiella webbplats och kontrollera nedladdningslänken, i stället för att förlita sig på sponsrade sökresultat.

Claude Desktop bör endast hämtas via Anthropics officiella installationsanvisningar eller företagets officiella nedladdningssida.

Organisationer bör även använda applikationskontroll, endpoint-skydd och tydliga regler för hur programvara får laddas ned och installeras på företagsenheter.

Säkerhetsteam bör vara uppmärksamma på ovanliga programinstallationer, nya schemalagda aktiviteter, ändringar av Microsoft Defender-inställningar och legitima applikationer som läser in okända DLL-filer.

Särskild försiktighet bör iakttas kring annonser som erbjuder nedladdningar av populära AI-verktyg, säkerhetsprogram, webbläsare och andra vanligt förekommande applikationer.