Publicado en

Campaña de malvertising en Bing suplanta a Claude AI para distribuir el malware SectopRAT

•Publicado enAmenazas y Malware

El auge de la IA como cebo: La campaña ‘FakeAgent’

En el actual ecosistema digital, la popularidad de las herramientas de Inteligencia Artificial se ha convertido en un arma de doble filo. Recientemente, se ha detectado una sofisticada campaña de malvertising en el motor de búsqueda Bing que utiliza el nombre de Claude AI, la plataforma de Anthropic, para distribuir el malware SectopRAT.

Bautizada por los investigadores como FakeAgent, esta operación logró comprometer al menos a 29 organizaciones en un periodo de apenas 48 horas. Lo más preocupante de este ataque es el uso de técnicas de evasión avanzadas y el abuso de infraestructuras legítimas para generar confianza en las víctimas.

¿Cómo funciona el ataque?

El vector de entrada comienza con anuncios patrocinados en Bing que aparecen cuando los usuarios buscan la aplicación de escritorio de Claude. Al hacer clic, el usuario es redirigido a un «Artifact» (una funcionalidad de Claude para compartir contenido) alojado en el dominio legítimo claude.ai. Esta táctica es especialmente peligrosa, ya que las soluciones de seguridad suelen confiar en el tráfico proveniente de dominios oficiales.

Desde este portal falso, se invita al usuario a descargar un instalador llamado ClaudeDesktop.exe. Sin embargo, este archivo no es la aplicación real, sino un componente legítimo de JetBrains que ha sido manipulado para realizar un DLL Sideloading, cargando una librería maliciosa (libcef.dll) que finalmente ejecuta el troyano SectopRAT.

SectopRAT: Un troyano de acceso remoto con capacidades de robo

SectopRAT, también conocido como ArechClient2, es un malware activo desde 2019 que combina funciones de espionaje con capacidades de control remoto. Entre sus principales características técnicas destacan:

  • HVNC (Hidden Virtual Network Computing): Permite a los atacantes interactuar con el sistema comprometido en tiempo real sin que el usuario lo note.
  • Robo de información: Está diseñado para extraer contraseñas, datos de tarjetas de crédito, cookies de sesión, credenciales de FTP y datos de aplicaciones como Discord, Telegram y Steam.
  • Evasión avanzada: El malware utiliza técnicas de detección de máquinas virtuales (VM) y empaquetado con VMProtect para dificultar su análisis por parte de expertos en ciberseguridad.
  • Comunicación vía Blockchain: Utiliza la técnica EtherHiding, recuperando las direcciones de sus servidores de comando y control (C2) a través de transacciones en la Binance Smart Chain (BNB).

Recomendaciones para la seguridad empresarial

Desde el departamento de ciberseguridad de Intedya, recordamos a las organizaciones la importancia de extremar las precauciones en la descarga de software corporativo. Los atacantes están aprovechando la urgencia por adoptar herramientas de IA para saltarse los perímetros de seguridad tradicionales.

Para mitigar estos riesgos, recomendamos:

  • Evitar anuncios patrocinados: Instruir al personal para que ignore los resultados marcados como «Patrocinado» o «Anuncio» en los buscadores y acceda siempre directamente a la web oficial del fabricante.
  • Implementar soluciones EDR/XDR: Estas herramientas pueden detectar comportamientos anómalos como el DLL Sideloading o la creación de tareas programadas sospechosas (como el uso de DockerDesktop.exe para persistencia observado en esta campaña).
  • Políticas de restricción de software: Limitar la capacidad de los usuarios para instalar ejecutables sin la validación previa del departamento de TI.

Curiosamente, los investigadores que analizaron esta amenaza utilizaron el propio modelo Claude Opus 4.8 para asistir en el descifrado del código malicioso, demostrando que, si bien la IA es un cebo para el ataque, también es una herramienta indispensable para la defensa.

Fuentes