Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Kampanie malvertisingowe od lat pozostają skuteczną metodą dystrybucji złośliwego oprogramowania. W najnowszym incydencie cyberprzestępcy wykorzystali reklamy sponsorowane w wyszukiwarce Bing, aby promować fałszywy instalator aplikacji Claude Desktop. Celem operacji było dostarczenie malware SectopRAT, znanego również jako ArechClient2, które łączy funkcje zdalnego dostępu z kradzieżą danych uwierzytelniających oraz informacji biznesowych.
Atak jest szczególnie niebezpieczny, ponieważ bazuje na zachowaniu uznawanym przez wielu użytkowników za rutynowe i bezpieczne, czyli pobieraniu aplikacji z wyników wyszukiwania. W praktyce sponsorowany wynik może prowadzić do pełnej kompromitacji stacji roboczej i utraty wrażliwych danych.
W skrócie
- Cyberprzestępcy promowali fałszywą aplikację Claude Desktop za pomocą reklam Bing.
- Ofiary trafiały do złośliwego procesu pobierania, który wykorzystywał element osadzony w legalnej infrastrukturze powiązanej z usługą Claude.
- Ładunkiem końcowym był SectopRAT, trojan zdalnego dostępu zdolny do kradzieży haseł, cookies, danych kart płatniczych i plików.
- Badacze zaobserwowali kompromitację co najmniej 29 organizacji w krótkim czasie.
- Atak wykorzystywał DLL sideloading, mechanizmy persistence oraz techniki anti-analysis.
Kontekst / historia
Podszywanie się pod popularne narzędzia AI i aplikacje produktywności stało się wyraźnym trendem w krajobrazie zagrożeń. Rozpoznawalne marki generują duży ruch w wyszukiwarkach, a to tworzy atrakcyjne środowisko dla operatorów kampanii phishingowych i malware. W tym przypadku przestępcy nie ograniczyli się do przygotowania fałszywej strony, lecz wsparli operację elementem hostowanym w legalnej domenie powiązanej z Claude, co zwiększało wiarygodność całego łańcucha infekcji.
SectopRAT sam w sobie nie jest nowym zagrożeniem. Ta rodzina malware była wcześniej obserwowana w różnych kampaniach, również tych wykorzystujących wieloetapowe łańcuchy dostarczania oraz techniki mające utrudnić analizę i detekcję. Obecna kampania pokazuje jednak, że starsze rodziny złośliwego oprogramowania nadal pozostają skuteczne, jeśli zostaną osadzone w nowoczesnym scenariuszu dystrybucji.
Analiza techniczna
Łańcuch infekcji rozpoczynał się od kliknięcia sponsorowanego wyniku w Bing. Użytkownik był następnie kierowany do fałszywego portalu pobierania przypominającego legalną stronę instalacyjną aplikacji Claude Desktop. Stamtąd pobierany był plik ClaudeDesktop.exe, który sprawiał wrażenie autentycznego instalatora.
Kluczowym elementem kampanii było wykorzystanie legalnego komponentu JetBrains Chromium do załadowania złośliwej biblioteki DLL o nazwie libcef.dll. Taki mechanizm odpowiada technice DLL sideloading, w której zaufany lub pozornie legalny plik wykonywalny ładuje kontrolowaną przez atakującego bibliotekę z lokalnego katalogu. Dzięki temu cyberprzestępcy mogą częściowo omijać prostsze mechanizmy wykrywania oparte na reputacji samego pliku EXE.
Za utrzymanie trwałości odpowiadał dodatkowy plik DockerDesktop.exe, który tworzył zaplanowane zadanie w systemie. Taka metoda persistence umożliwia ponowne uruchamianie malware po restarcie urządzenia i zmniejsza zależność od pojedynczego procesu inicjującego infekcję.
Badacze zwrócili również uwagę na zastosowanie mechanizmów anti-analysis. W analizowanej próbce pojawiły się elementy związane z VMProtect, testami czasu wykonywania shaderów, kontrolą GPU i pamięci VRAM oraz wykrywaniem środowisk wirtualnych. Z perspektywy obrońców oznacza to próbę ograniczenia skuteczności sandboxów i utrudnienia pracy analityków reverse engineeringu.
SectopRAT oferuje także funkcję HVNC, czyli Hidden Virtual Network Computing. Pozwala ona operatorowi prowadzić ukrytą sesję zdalną na zainfekowanym systemie bez oczywistych oznak widocznych dla użytkownika. Malware może kraść hasła, dane kart płatniczych, cookies, pliki, loginy do FTP, informacje z komunikatorów, platform gamingowych i narzędzi VPN.
Dodatkowo malware wykorzystywał technikę EtherHiding do pobierania aktywnego adresu serwera C2 poprzez dane powiązane z transakcjami w sieci BNB Smart Chain. Taki model utrudnia blokowanie infrastruktury sterującej, ponieważ część informacji nie musi być przechowywana wyłącznie w domenach i na klasycznych serwerach.
Konsekwencje / ryzyko
Skutki takiej infekcji mogą być poważne zarówno dla użytkowników indywidualnych, jak i środowisk firmowych. W przypadku pojedynczych ofiar ryzyko obejmuje przejęcie kont, utratę danych logowania, kradzież informacji finansowych oraz trwałą kompromitację przeglądarki i aktywnych sesji.
Dla organizacji zagrożenie jest jeszcze większe. Kradzież cookies i danych uwierzytelniających może umożliwić przejęcie dostępu do usług chmurowych, komunikatorów, paneli administracyjnych i zasobów VPN. Funkcje HVNC zwiększają ryzyko aktywnych działań operatorskich na stacji roboczej, obchodzenia mechanizmów MFA w scenariuszach opartych na przejętej sesji oraz wykonywania dalszego ruchu lateralnego.
Kampania pokazuje też, że zaufanie do znanej marki lub legalnej domeny pośredniej nie może być traktowane jako wystarczający wskaźnik bezpieczeństwa. Ataki coraz częściej wykorzystują prawdziwe komponenty i legalne elementy infrastruktury, aby obniżyć czujność użytkownika oraz utrudnić filtrowanie ruchu przez narzędzia ochronne.
Rekomendacje
Podstawowym środkiem ograniczającym ryzyko jest pobieranie oprogramowania wyłącznie z oficjalnych źródeł oraz wewnętrznie zatwierdzonych katalogów aplikacji. Organizacje powinny jasno komunikować, że sponsorowane wyniki wyszukiwania nie są równoznaczne z autentycznością dostawcy.
- Wdrożyć application allowlisting dla stacji roboczych.
- Monitorować próby DLL sideloading oraz nietypowe ładowanie bibliotek z katalogów użytkownika.
- Wykrywać nowe zadania harmonogramu tworzone poza standardowym procesem wdrożeniowym.
- Korelować telemetrię EDR pod kątem uruchamiania plików podszywających się pod znane instalatory.
- Monitorować dostęp do magazynów poświadczeń, danych przeglądarek i plików cookies.
- Analizować ruch do nietypowych punktów C2 oraz nowo wykorzystywanej infrastruktury.
- Wzmacniać szkolenia użytkowników dotyczące pobierania aplikacji AI i narzędzi produktywności.
Z perspektywy SOC warto budować reguły detekcyjne dla procesów uruchamianych z katalogów pobierania, tworzenia persistence przez scheduled tasks, podejrzanego wykorzystania komponentów Chromium oraz prób wykrywania środowisk wirtualnych przez nowo uruchomione próbki.
Podsumowanie
Kampania wykorzystująca fałszywą aplikację Claude pokazuje, jak skuteczne pozostaje połączenie malvertisingu, nadużycia zaufanej infrastruktury, DLL sideloadingu i zaawansowanych technik unikania analizy. SectopRAT stanowi istotne zagrożenie ze względu na możliwości kradzieży danych, przejmowania sesji oraz zdalnej interakcji z systemem ofiary.
Dla zespołów bezpieczeństwa to kolejny sygnał, że obrona nie może opierać się wyłącznie na reputacji domeny czy pojedynczego pliku wykonywalnego. Konieczna jest analiza całego łańcucha dostarczania, zachowania procesu po uruchomieniu oraz edukacja użytkowników w zakresie bezpiecznego pobierania oprogramowania.
Źródła
- BleepingComputer — Fake Claude app promoted by Bing ads pushes SectopRAT malware — https://www.bleepingcomputer.com/news/security/fake-claude-app-promoted-by-bing-ads-pushes-sectoprat-malware/