Bing-Anzeigen verbreiten gefälschte Claude-App mit SectopRAT

Über manipulierte Bing-Anzeigen verbreiteten Angreifer die Schadsoftware SectopRAT. Betroffen waren mindestens 29 Unternehmen.

Sicherheitsforscher des IT-Dienstleisters Huntress haben eine Malvertising-Kampagne aufgedeckt, bei der gefälschte Werbeanzeigen auf der Suchplattform Bing genutzt wurden. Die Anzeigen führten auf ein sogenanntes Claude Artifact auf der offiziellen Domain Claude.ai. Das Artefakt verlinkte auf eine externe Webseite, über die eine gefälschte Installationsdatei namens ClaudeDesktop.exe heruntergeladen wurde. Vor der Entfernung durch den Anbieter Anthropic wurde das Artefakt rund 7.100 Mal abgerufen.

Bei der heruntergeladenen Datei handelte es sich um eine legitime Chromium-Komponente von JetBrains. Diese nutzte das Verfahren des DLL-Sideloading, um eine schädliche Bibliothek namens libcef.dll nachzuladen. Darüber installierte das System die Schadsoftware SectopRAT auf dem Zielsystem. Zur Dauerhaftigkeit auf dem kompromittierten System diente eine weitere Datei namens DockerDesktop.exe, die eine geplante Aufgabe in der Windows-Aufgabenplanung anlegte.

Funktionsumfang der Schadsoftware SectopRAT

Bei SectopRAT, auch bekannt als ArechClient2, handelt es sich um einen Remote-Access-Trojaner mit Funktionen eines Information-Stealers. Die Software ist seit 2019 aktiv und verfügt über Hidden-Virtual-Network-Computing-Funktionen (HVNC). Dies ermöglicht den Angreifern den direkten Fernzugriff und Interaktionen auf dem betroffenen System in Echtzeit.

Die Schadsoftware zielt auf den Diebstahl von Benutzerpasswörtern, Kreditkartendaten, Browser-Logins, Cookies, FTP-Zugangsdaten sowie Daten von Messaging-Diensten wie Discord und Telegram ab. Für die Ermittlung der aktuellen Serveradresse zur Befehlssteuerung nutzt die Software das EtherHiding-Verfahren über Transaktionen auf der Ethereum BNB Smart Chain.

Analyse und Zuordnung der Kampagne

In der Kampagne, die von den Forschern unter der Bezeichnung FakeAgent geführt wird, wurden zwischen dem 21. und 22. Juli 2026 mindestens 29 Organisationen kompromittiert. Die eingesetzten Loader und Zwischenstufen wiesen verschiedene Schutzmechanismen gegen Analysen auf, darunter VMProtect-Verschlüsselung, Grafikkarten- und VRAM-Prüfungen sowie Verfahren zur Erkennung virtueller Maschinen.

Im Rahmen der Untersuchung identifizierten die Analysten zehn Serverdomains, die seit Dezember 2025 unter derselben E-Mail-Adresse registriert wurden. Eine dieser Domains stand zuvor in Verbindung mit der Verbreitung der Schadsoftware StealC und wurde im Rahmen der internationalen Operation Endgame beschlagnahmt. Eine eindeutige Zuordnung der FakeAgent-Kampagne zu einer bekannten Angreifergruppe liegt derzeit noch nicht vor.

(red)