Uma campanha maliciosa de publicidade no motor de busca Bing está a ser utilizada para distribuir um falso instalador da aplicação de ambiente de trabalho do Claude, o conhecido modelo de inteligência artificial da Anthropic. Segundo revelou uma investigação da Huntress, esta operação cibernética, batizada de FakeAgent, afetou pelo menos 29 organizações num curto período de 48 horas, entre os dias 21 e 22 de julho.
O mecanismo de infeção através de Artifacts
Os atacantes recorreram a um Artifact alojado no próprio domínio legítimo do Claude (claude.ai) para enganar as vítimas. Esta abordagem já tinha sido observada no início do ano para disseminar ameaças em sistemas macOS. O ficheiro fraudulento, descarregado cerca de 7100 vezes antes de ser removido pela equipa de segurança da plataforma, redirecionava os utilizadores para páginas externas que disponibilizavam um executável chamado ClaudeDesktop.exe.
Na realidade, este ficheiro consiste num componente legítimo da JetBrains Chromium que recorre à técnica de dll sideloading para injetar uma biblioteca modificada (libcef.dll). É este elemento secundário que descarrega e executa o SectopRAT, um cavalo de Troia de acesso remoto com fortes capacidades de roubo de dados. Para garantir que a ameaça persiste no sistema infectado após o reiniciar do computador, o ficheiro instala uma tarefa agendada sob o nome de DockerDesktop.exe.
Capacidades do SectopRAT e evasão
Este tipo de malware está ativo desde 2019 sob a designação alternativa de ArechClient2. Trata-se de um infostealer avançado que inclui funcionalidades de HVNC (Hidden Virtual Network Computing), permitindo aos cibercriminosos interagir com o sistema comprometido em tempo real e sem o conhecimento do utilizador. O principal objetivo passa por extrair palavras-passe, cartões de crédito, cookies de sessão, credenciais FTP e dados de clientes de mensagens como o Discord e o Telegram.
A análise técnica detalhada demonstrou que a cadeia de infeção conta com mecanismos complexos de anti-análise para contornar soluções de segurança tradicionais. Entre os métodos detetados destacam-se a proteção por VMProtect, verificações de temporização de shaders, validações de memória VRAM e deteção de ambientes virtuais. Para comunicar com a infraestrutura de comando e controlo (C2), a campanha utiliza a técnica de EtherHiding, recuperando os endereços necessários através de transações na rede inteligente da Binance (BNB Smart Chain).
Como recomendação de segurança para quem utiliza estas ferramentas de inteligência artificial no quotidiano profissional ou pessoal, torna-se indispensável privilegiar a transferência de software através dos portais e repositórios oficiais das marcas. Deve evitar-se o clique em ligações patrocinadas nos resultados de pesquisa, que frequentemente servem de veículo para este género de fraudes digitais.
Nenhum comentário
Seja o primeiro!