Malvertising no Bing Direciona Usuários de Claude Desktop para Malware SectopRAT em Ampla Campanha de Ataque

A campanha FakeAgent expõe uma evolução alarmante nas táticas de malvertising, usando publicidade paga no Bing para enganar usuários que procuravam pelo aplicativo de desktop do Claude. A isca é um executável `ClaudeDesktop.exe` que, na verdade, é um `jcef_helper.exe` modificado e empacotado com VMProtect. Os atacantes exploram o DLL sideloading, técnica que carrega uma DLL maliciosa, neste caso a `libcef.dll` alterada, junto a um executável legítimo e assinado, como componentes do JetBrains ou o `sslconf.exe` da IBM SPSS.

A sofisticação do ataque também aparece na evasão de detecção. O comando e controle (C2) é resiliente, armazenado em contratos Ethereum BSC, técnica conhecida como EtherHiding. Para dificultar a análise, o malware verifica IDs de adaptadores DXGI e VRAM, além de usar um shader DirectX para descriptografar seu payload. Essa abordagem delega a descriptografia para a GPU, contornando APIs criptográficas comuns e dificultando a engenharia reversa. O payload final é o SectopRAT, capaz de roubar dados sensíveis como informações de cartão de crédito, pessoais, arquivos e senhas.

A cobertura anterior do CEVIU News, em junho de 2026, já alertava sobre campanhas que usavam sites falsos da Anthropic para distribuir infostealers a usuários do Claude Code. Naquela época, a exploração focava em SEO envenenado para `mshta.exe` executar comandos maliciosos. Agora, com a campanha FakeAgent, notamos uma escalada. A mudança mais significativa é o uso de malvertising pago no Bing, a exploração de artefatos públicos legítimos do próprio Claude.ai e a implantação de técnicas de evasão mais complexas, como EtherHiding para C2 e descriptografia de payload via DirectX shader, tornando a detecção e análise muito mais difíceis para as defesas. O alvo também se expandiu, mirando o aplicativo de desktop, não apenas o `claude code install`.

Esta campanha é um alerta sério para a segurança digital. Ela mostra como os adversários estão cada vez mais astutos, explorando a confiança em plataformas legítimas (Bing, Claude.ai, executáveis assinados) para infiltrar malware. As técnicas avançadas, como EtherHiding e a descriptografia via GPU, indicam um esforço contínuo para evadir defesas tradicionais. Para empresas e usuários, isso significa que a vigilância precisa ser redobrada: é fundamental verificar a autenticidade de downloads, mesmo que pareçam vir de fontes oficiais, e manter soluções de segurança atualizadas, pois a detecção precoce de ameaças como o SectopRAT é crucial para evitar o roubo de dados críticos e financeiros.