Huntress mengungkap kampanye malvertising pada layanan Bing yang mempromosikan installer aplikasi desktop Claude palsu yang dihosting pada domain sah Claude.ai. Kampanye FakeAgent ini berhasil mengkompromikan minimal 29 organisasi pada 21-22 Juli 2026 dengan menyalahgunakan fitur Claude Artifact pada domain legitimate untuk mengarahkan korban ke installer berbahaya yang menyebarkan SectopRAT.
APA YANG TERJADI?
Penyerang membuat Claude Artifact berbahaya yang dihosting pada domain sah claude.ai, fitur yang memungkinkan pengguna membuat dan berbagi konten interaktif. Artifact tersebut diunduh sebanyak 7.100 kali sebelum Anthropic menghapusnya. Artifact tersebut mengarahkan pengunjung ke situs yang menampung installer palsu bernama ClaudeDesktop.exe. File tersebut sebenarnya adalah komponen JetBrains Chromium yang sah yang melakukan sideloading DLL berbahaya bernama libcef.dll untuk mengantarkan SectopRAT. Persistensi dicapai melalui executable DockerDesktop.exe yang menginstal scheduled task. Berbagai loader dan komponen staging pada rantai infeksi memiliki mekanisme anti-analisis termasuk VMProtect packing, shader timing checks, pemeriksaan GPU dan VRAM, serta deteksi virtual machine.
DETAIL TEKNIS
SectopRAT, juga dikenal sebagai ArechClient2, telah aktif sejak 2019 dan merupakan infostealer dengan fungsionalitas HVNC (Hidden Virtual Network Computing) yang memungkinkan operasi hands-on remote dan interaksi real-time dengan sistem yang terkompromi. Malware ini menargetkan password pengguna, data kartu kredit, file, login dan cookie browser, kredensial FTP, data dari berbagai klien messaging termasuk Discord dan Telegram, Steam, dan produk VPN. SectopRAT menggunakan teknik EtherHiding untuk mengambil alamat C2 yang aktif melalui transaksi Ethereum BNB Smart Chain, membuat takedown infrastruktur C2 menjadi sangat sulit. Huntress menggunakan Claude Opus 4.8 untuk membantu dengan shader emulation, rekonstruksi kriptografis, dan analisis kode .NET pada saat reverse engineering payload. Analisis infrastruktur menemukan 10 domain yang terdaftar pada alamat email yang sama sejak Desember 2025, dengan satu domain sebelumnya dikaitkan dengan distribusi StealC dan disita selama Operation Endgame.
DAMPAK TERHADAP INDONESIA
Penggunaan iklan berbayar pada platform pencarian seperti Bing untuk mendistribusikan malware adalah ancaman yang sangat relevan bagi Indonesia. Pengguna Indonesia sering kali mengandalkan hasil pencarian, termasuk iklan sponsor, untuk menemukan software yang ingin diunduh. Budaya mengunduh aplikasi dari hasil pencarian alih-alih dari situs resmi sangat umum, terutama pada kalangan pengguna yang kurang melek digital. SectopRAT dengan kemampuan HVNC memungkinkan penyerang untuk mengambil alih desktop korban secara real-time, mencuri data banking, mengakses email korporat, dan melakukan transaksi fraudulen. Dengan meningkatnya popularitas AI tools seperti Claude, penyerang memanfaatkan brand recognition untuk menipu pengguna. Korporasi Indonesia yang menggunakan Bing sebagai mesin pencarian default pada workstation karyawan perlu menyadari bahwa iklan sponsor tidak selalu diverifikasi dengan ketat oleh platform.
REKOMENDASI MITIGASI
Pengguna harus selalu mengunduh software dari situs web resmi atau portal download yang tepercaya, bukan dari hasil pencarian atau iklan sponsor. Administrator harus mempertimbangkan pembatasan iklan sponsor pada mesin pencarian yang digunakan di lingkungan korporat melalui kebijakan browser atau DNS filtering. EDR harus dikonfigurasi untuk mendeteksi sideloading DLL oleh aplikasi yang sah, serta scheduled task yang dibuat oleh proses yang tidak biasa. Monitoring terhadap software remote access dan screen sharing tidak sah pada endpoint juga sangat penting karena HVNC sering kali memanfaatkan teknik serupa. Organisasi harus menerapkan application whitelisting untuk mencegah eksekusi installer dari sumber tidak dikenal. Selain itu, deteksi transaksi blockchain yang terkait dengan EtherHiding memerlukan monitoring network traffic yang mencari komunikasi dengan node BNB Smart Chain.
Analisa Retasan
Kampanye FakeAgent menunjukkan evolusi malvertising yang semakin sophisticated: penyalahgunaan domain legitimate untuk hosting redirector, penggunaan komponen software sah untuk sideloading DLL, dan pemanfaatan platform iklan berbayar untuk mencapai skala. Fakta bahwa Artifact berbahaya dihosting pada claude.ai menunjukkan bahwa platform AI modern, yang dirancang untuk memudahkan berbagi dan kolaborasi, bisa disalahgunakan oleh aktor ancaman sebagai vector distribusi malware. Taktik ini mirip dengan ClickFix yang memanfaatkan kepercayaan pengguna terhadap platform populer untuk menyebarkan payload. Penggunaan JetBrains Chromium sebagai host untuk sideloading libcef.dll berbahaya adalah teknik DLL sideloading yang klasik namun efektif, karena komponen Chromium yang sah memiliki reputasi baik dan sering kali dikecualikan dari scanning mendalam oleh EDR.
Teknik EtherHiding melalui transaksi BNB Smart Chain menambahkan dimensi baru pada resiliensi infrastruktur C2. Alih-alih bergantung pada domain atau server yang bisa di-takedown, penyerang menyimpan payload dan konfigurasi C2 pada blockchain yang desentralisasi. Hal ini membuat law enforcement dan security vendor hampir tidak mampu mengambil infrastruktur offline karena blockchain secara inheren resisten terhadap sensor. Meskipun Huntress berhasil menganalisis dan menangkap payload, kemampuan untuk secara dinamis mengubah alamat C2 melalui transaksi blockchain berarti bahwa satu takedown tidak menghentikan operasi secara keseluruhan. Fenomena ini menggarisbawahi bahwa defender harus beralih dari pendekatan takedown infrastruktur ke pendekatan deteksi behavioral pada endpoint.
Bagi Indonesia, di mana platform iklan digital dan pencarian menjadi kanal utama untuk penemuan software, kampanye ini adalah alarm yang serius. Banyak pengguna yang mengklik iklan sponsor tanpa menyadari bahwa platform iklan tidak menjamin keamanan konten yang diiklankan. Korporasi perlu menyadarkan karyawan bahwa iklan sponsor pada mesin pencarian bisa menampilkan domain yang mirip dengan situs resmi namun sebenarnya berbahaya. Program security awareness harus mencakup simulasi malvertising dan teknik ClickFix yang semakin umum. Tanpa edukasi yang efektif, organisasi akan terus menghadapi risiko infeksi melalui teknik yang menargetkan kepercayaan pengguna pada brand besar dan platform teknologi yang familiar.
Sumber: Huntress / BleepingComputer
