Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Kampanie malvertisingowe od lat pozostają skutecznym narzędziem cyberprzestępców, ponieważ wykorzystują zaufanie użytkowników do sponsorowanych wyników wyszukiwania. W opisanym incydencie atakujący promowali fałszywą aplikację desktopową Claude, która w rzeczywistości dostarczała malware SectopRAT po uruchomieniu spreparowanego instalatora.
Zagrożenie jest szczególnie istotne, ponieważ łączy socjotechnikę, nadużycie wiarygodnej infrastruktury oraz techniki utrudniające analizę. Taki model działania zwiększa skuteczność infekcji i utrudnia zarówno wykrycie ataku, jak i jego szybkie powstrzymanie.
W skrócie
- Fałszywa aplikacja Claude była promowana w reklamach Bing.
- Instalator wykorzystywał technikę DLL sideloading do uruchomienia SectopRAT.
- Łańcuch infekcji korzystał z elementów legalnej infrastruktury, co podnosiło wiarygodność kampanii.
- Malware łączy funkcje trojana zdalnego dostępu i infostealera.
- Zagrożenie dotknęło organizacje i użytkowników indywidualnych, narażając ich na kradzież danych oraz przejęcie sesji.
Kontekst / historia
Podszywanie się pod popularne narzędzia AI stało się jednym z widocznych trendów w cyberprzestępczości. Rozpoznawalne marki przyciągają uwagę użytkowników, a to czyni je atrakcyjnym wabikiem w kampaniach malware i oszustwach dystrybucyjnych.
W tym przypadku przestępcy wykorzystali zainteresowanie aplikacją Claude oraz mechanizm reklam w wyszukiwarce Bing. Szczególnie niebezpieczne było użycie infrastruktury powiązanej z legalnym ekosystemem usługi, co utrudniało odróżnienie autentycznego zasobu od elementu wykorzystywanego w ataku.
Badacze przypisali operację do kampanii określanej jako FakeAgent. Sama rodzina SectopRAT, znana również jako ArechClient2, nie jest nowa i była obserwowana już wcześniej w innych operacjach malware, co pokazuje, że operatorzy stale adaptują sprawdzone narzędzia do nowych scenariuszy socjotechnicznych.
Analiza techniczna
Łańcuch ataku rozpoczynał się od kliknięcia sponsorowanego wyniku w Bing, który sugerował pobranie desktopowej wersji Claude. Następnie użytkownik trafiał do witryny imitującej legalny portal pobierania, skąd pobierał plik wykonywalny wyglądający na autentyczny instalator.
Kluczowym elementem ataku był plik ClaudeDesktop.exe, który nie pełnił roli klasycznego samodzielnego droppera. Zamiast tego wykorzystano legalny komponent JetBrains Chromium do przeprowadzenia DLL sideloading z użyciem złośliwej biblioteki libcef.dll. Taka technika pozwala na uruchomienie nieautoryzowanego kodu w kontekście zaufanego procesu i może utrudniać detekcję opartą na reputacji plików.
W dalszym etapie wykorzystywany był dodatkowy komponent DockerDesktop.exe odpowiedzialny za utrwalenie dostępu. Malware tworzyło zaplanowane zadanie systemowe, aby zapewnić sobie persistence i możliwość ponownego uruchomienia po restarcie systemu.
Analiza próbek wskazała również na zastosowanie rozbudowanych mechanizmów anti-analysis. Zaobserwowano m.in. pakowanie z użyciem VMProtect, kontrole środowiska oparte na parametrach GPU i VRAM, wykrywanie maszyn wirtualnych oraz techniki timingowe związane z shaderami. Celem tych zabezpieczeń było utrudnienie pracy analitykom i ograniczenie skuteczności sandboxów.
SectopRAT pełni podwójną rolę: działa jako RAT oraz infostealer. Malware może wykradać hasła, dane kart płatniczych, pliki, loginy, cookies przeglądarek, poświadczenia FTP oraz informacje z komunikatorów i innych aplikacji użytkownika. Dodatkowo funkcja HVNC umożliwia operatorowi ukrytą, interaktywną obsługę przejętego systemu bez oczywistych oznak dla ofiary.
Na uwagę zasługuje także użycie techniki EtherHiding do pobierania aktualnych informacji o infrastrukturze C2. W praktyce oznacza to wykorzystanie danych zapisanych w transakcjach blockchain do ukrycia lub dystrybucji parametrów sterujących, co zwiększa odporność kampanii na blokowanie tradycyjnych domen dowodzenia.
Konsekwencje / ryzyko
Skutki tej kampanii mogą być poważne zarówno dla użytkowników indywidualnych, jak i przedsiębiorstw. Dla ofiary końcowej oznacza to ryzyko utraty haseł, przejęcia aktywnych sesji, dostępu do kont, kompromitacji danych finansowych oraz kradzieży prywatnych plików.
W środowisku firmowym konsekwencje są jeszcze szersze. Przejęte cookies, hasła i tokeny mogą umożliwić dalszy ruch boczny, dostęp do usług SaaS, systemów VPN, repozytoriów kodu oraz paneli administracyjnych. Funkcjonalność HVNC dodatkowo pozwala atakującemu działać jak legalny użytkownik, co utrudnia wykrycie nadużycia przez tradycyjne mechanizmy bezpieczeństwa.
Ryzyko operacyjne wzrasta także dlatego, że atak rozpoczyna się od pozornie wiarygodnego wyniku sponsorowanego. To podważa skuteczność prostych zaleceń dla użytkowników opartych wyłącznie na korzystaniu z oficjalnych źródeł, ponieważ granica między legalnym zasobem a elementem wykorzystywanym przez przestępców staje się coraz mniej wyraźna.
Rekomendacje
Organizacje powinny ograniczyć zaufanie do sponsorowanych wyników wyszukiwania w procesie pobierania oprogramowania. Najbezpieczniejszym podejściem jest wdrożenie polityki instalacji aplikacji wyłącznie z zatwierdzonych repozytoriów, katalogów firmowych lub przez formalny proces obsługiwany przez dział IT.
Od strony technicznej warto monitorować zdarzenia związane z DLL sideloading, uruchamianiem nietypowych bibliotek przez zaufane procesy oraz tworzeniem nowych zaplanowanych zadań. Systemy EDR i XDR powinny wykrywać anomalie takie jak wykonywanie plików z katalogów pobrań, nietypowe relacje proces–biblioteka oraz podejrzane połączenia sieciowe inicjowane przez komponenty aplikacyjne.
- blokować lub ściśle kontrolować uruchamianie niepodpisanych bibliotek DLL,
- wdrożyć application allowlisting na stacjach roboczych,
- monitorować kradzież cookies oraz nietypowe użycie sesji w usługach SaaS,
- stosować MFA odporne na phishing tam, gdzie to możliwe,
- analizować artefakty persistence, w tym zadania harmonogramu i wpisy autostartu,
- prowadzić threat hunting pod kątem wskaźników związanych z SectopRAT i kampaniami malvertisingowymi.
Użytkownicy końcowi powinni unikać pobierania aplikacji z reklam i sponsorowanych wyników wyszukiwania. Bezpieczniejszą praktyką jest ręczne wpisywanie znanego adresu producenta, korzystanie z zatwierdzonych portali oraz weryfikacja podpisów cyfrowych i integralności plików.
Podsumowanie
Kampania z fałszywą aplikacją Claude pokazuje, że połączenie malvertisingu, nadużycia zaufanej infrastruktury oraz technik takich jak DLL sideloading nadal pozostaje bardzo skuteczne. SectopRAT stanowi istotne zagrożenie, ponieważ łączy możliwości kradzieży danych z aktywną, zdalną kontrolą nad przejętym systemem.
Dla zespołów bezpieczeństwa najważniejsza lekcja jest jasna: wiarygodny punkt wejścia nie oznacza bezpiecznego łańcucha dostawy. Ochrona musi obejmować cały przebieg ataku — od reklamy i pobrania pliku, przez persistence, po komunikację z infrastrukturą C2 i nadużycie przejętej tożsamości użytkownika.
Źródła
- https://www.bleepingcomputer.com/news/security/fake-claude-app-promoted-by-bing-ads-pushes-sectoprat-malware/