FakeAgent usa un falso Claude Desktop per distribuire SectopRAT via Bing Ads

🛡️ Executive Summary

• Annunci sponsorizzati su Bing conducevano a un Artifact Claude legittimo che reindirizzava verso un falso installer di Claude Desktop.
• La catena usava DLL sideloading, VMProtect, controlli GPU anti-VM ed EtherHiding per distribuire SectopRAT e mantenere la persistenza.
• Le organizzazioni devono bloccare installer non verificati, monitorare task pianificati, esclusioni Defender, sideloading e connessioni C2 recuperate dalla blockchain.

Una campagna di malvertising denominata FakeAgent ha colpito almeno 29 organizzazioni tra il 21 e il 22 luglio 2026, distribuendo SectopRAT attraverso un falso installer di Claude Desktop. Le vittime cercavano l’applicazione su Bing e incontravano annunci sponsorizzati che conducevano a un Artifact pubblico ospitato sul dominio legittimo Claude.ai. Da quella pagina venivano reindirizzate verso infrastrutture controllate dagli attaccanti e scaricavano ClaudeDesktop.exe. La catena combinava applicazioni firmate, DLL sideloading, persistenza tramite task pianificati, VMProtect, controlli anti-VM basati sulla GPU ed EtherHiding per recuperare indirizzi C2 dalla blockchain.

Un Artifact Claude legittimo rende credibile il falso download

L’accesso iniziale partiva da una ricerca apparentemente innocua per “Claude Desktop App” su Bing. Tra i risultati sponsorizzati compariva un collegamento al dominio ufficiale Claude.ai, circostanza sufficiente per abbassare le difese di molti utenti. L’annuncio non puntava però alla pagina ufficiale del prodotto, ma a un Artifact pubblico creato da un utente e configurato per imitare una pagina di download di Claude Desktop e Claude Cowork. Gli Artifact permettono di pubblicare piccoli siti, documenti e dimostrazioni direttamente sull’infrastruttura di Anthropic; in questo caso il contenuto non ospitava il malware, ma trasferiva chi premeva “Download” verso claude.ai.download-app[.]us e successivamente verso un secondo dominio, dal quale veniva servito l’eseguibile malevolo.

Prima della rimozione, la pagina aveva registrato circa 7.100 visualizzazioni. La campagna conferma come il dominio affidabile non garantisca l’affidabilità del contenuto generato dagli utenti: lo stesso principio era emerso quando LLMShare sfruttava ChatGPT e Claude per distribuire malware attraverso domini riconosciuti. Anthropic ha rimosso l’Artifact dopo la segnalazione di Huntress, ma il modello resta facilmente replicabile con altri contenuti pubblici, piattaforme collaborative e servizi di hosting gratuito.

ClaudeDesktop.exe nasconde un loader basato sul DLL sideloading

L’eseguibile scaricato non era il client ufficiale di Anthropic, ma una copia rinominata di jcef_helper.exe, componente legittimo del Chromium Embedded Framework utilizzato da JetBrains. Il binario firmato caricava una versione manipolata di libcef.dll collocata nella stessa directory, applicando la tecnica del DLL sideloading: Windows risolveva la dipendenza locale e avviava il codice malevolo nel contesto di un processo apparentemente affidabile. Un secondo eseguibile identico, denominato DockerDesktop.exe, veniva scritto sul disco e registrato come attività pianificata per riavviare periodicamente la catena, mentre un ulteriore meccanismo di persistenza depositava sslconf.exe sotto %APPDATA%\Roaming\Microsoft\EdgeUpdate\Install\.

Quest’ultimo era un binario IBM SPSS firmato che caricava la DLL alterata tempdir.dll. Gli attaccanti riutilizzavano quindi la stessa logica con host differenti, complicando i controlli fondati sul nome del processo o sulla firma digitale dell’eseguibile principale. Il pattern richiama la precedente campagna di Bing Ads che usava un falso NordVPN per distribuire SecTopRAT, ma FakeAgent aggiunge la reputazione del dominio Claude.ai e una catena più sofisticata di evasione e persistenza.

VMProtect e la GPU ostacolano sandbox e reverse engineering

La DLL libcef.dll era protetta con VMProtect, strumento commerciale che virtualizza e trasforma il codice rendendo più lenta l’analisi statica. Il secondo loader introduceva invece un controllo anti-VM basato sull’hardware grafico: enumerava gli adattatori attraverso DXGI, cercava identificativi riconducibili a QEMU e VMware, verificava la presenza di almeno 1 GB di VRAM ed eseguiva un breve test di timing con compute shader. Un ambiente virtuale o emulato che completava l’operazione troppo rapidamente o esponeva una GPU poco realistica impediva l’attivazione del payload. La stessa GPU veniva usata per decifrare appcfg.dat: l’algoritmo era incorporato in bytecode Shader Model 5 ed eseguito attraverso DirectX, evitando le normali API crittografiche della CPU monitorate da molti strumenti di sicurezza. Huntress ha ricostruito una variante modificata di AES-256-CTR, con una trasformazione non standard in MixColumns, utilizzando Claude come supporto per l’emulazione e la deoffuscazione. L’analisi ha comunque richiesto verifica manuale: un singolo byte trascritto in modo errato aveva inizialmente impedito la decifratura, dimostrando che l’assistenza dell’LLM accelera il lavoro ma non elimina la necessità del controllo umano.

EtherHiding consegna SectopRAT e rende resiliente il comando e controllo

Nel loader comparivano riferimenti a contratti Ethereum e BNB Smart Chain utilizzati non per trasferire criptovalute, ma per pubblicare informazioni cifrate sull’infrastruttura di comando. La tecnica, conosciuta come EtherHiding, permette agli operatori di modificare l’indirizzo del server C2 inviando una nuova transazione, senza aggiornare il malware già installato e senza dipendere da un dominio facilmente sequestrabile. Dopo aver decifrato appcfg.dat, Huntress ha recuperato un eseguibile PE e un assembly .NET pesantemente offuscato. Le stringhe indicavano funzioni per sottrarre login dei browser, cookie, dati di autofill, carte di credito, password, file, credenziali FTP e informazioni provenienti da client di messaggistica. L’analisi dei servizi C2 e della funzione HVNC ha portato all’attribuzione a SectopRAT, Remote Access Trojan capace di offrire controllo remoto nascosto oltre al furto di informazioni. La stessa resilienza infrastrutturale era stata osservata quando ClearFake usava smart contract BSC per nascondere e ruotare il proprio C2. Huntress ha ricavato dai contratti l’indirizzo 2.24.131[.]246 e ha collegato l’operatore a domini registrati fin dal 2025, compresa una precedente campagna che imitava Docker Desktop con lo stesso sideloading di libcef.dll.

Le difese devono verificare la provenienza e non soltanto la firma

FakeAgent dimostra che annunci sponsorizzati, domini legittimi e applicazioni firmate possono convivere nella stessa catena malevola. Le organizzazioni devono impedire l’installazione di software scaricato da pagine non autorizzate, distribuendo Claude Desktop e gli altri strumenti AI attraverso cataloghi aziendali o repository verificati. Sul piano del rilevamento, assumono valore la comparsa di ClaudeDesktop.exe o DockerDesktop.exe al di fuori dei percorsi ufficiali, la creazione di task pianificati anomali, nuove esclusioni di Microsoft Defender, l’esecuzione di binari firmati affiancati da DLL con hash sconosciuti e l’attività sotto %APPDATA%\Roaming\Microsoft\EdgeUpdate\Install\. Devono essere investigate anche chiamate a contratti blockchain effettuate da processi che non hanno alcuna funzione finanziaria, controlli DXGI insoliti, uso di shader per leggere o trasformare file e sessioni grafiche nascoste compatibili con HVNC. La bonifica richiede la rimozione della persistenza e la rotazione delle credenziali potenzialmente raccolte, incluse password browser, cookie, dati FTP e account aziendali. Soprattutto, il posizionamento in cima a una pagina di ricerca non deve più essere interpretato come una validazione: nel malvertising moderno l’annuncio acquistato è spesso il primo elemento della compromissione, non una garanzia di autenticità.