แอป Claude ปลอมที่โฆษณาผ่าน Bing Ads ถูกใช้เพื่อแพร่กระจาย SectopRAT Malware

แคมเปญ Malvertising บนบริการค้นหาของ Bing กำลังใช้โฆษณาเพื่อหลอกให้ผู้ใช้ดาวน์โหลดตัวติดตั้งแอป Claude Desktop ปลอม โดยอาศัยหน้าเว็บที่โฮสต์อยู่บนโดเมน Claude.ai ของจริง ก่อนนำไปสู่การติดตั้ง SectopRAT Malware

นักวิจัยตั้งชื่อปฏิบัติการนี้ว่า FakeAgent และระบุว่า มีองค์กรอย่างน้อย 29 แห่งถูกโจมตีในช่วงวันที่ 21–22 กรกฎาคม จากแคมเปญดังกล่าว

ผู้โจมตีใช้ Claude Artifact ที่เป็นอันตราย ซึ่งถูกโฮสต์อยู่บนโดเมน Claude.ai ของจริง โดยเป็นเทคนิคเดียวกับที่เคยถูกนำมาใช้เมื่อต้นปีเพื่อแพร่กระจาย Malware บน macOS ผ่านกลลวง ClickFix

นักวิจัยจากบริษัทด้าน Managed Security อย่าง Huntress เปิดเผยว่า Claude Artifact ดังกล่าวถูกดาวน์โหลดไปแล้วกว่า 7,100 ครั้ง ก่อนที่ Anthropic จะนำออกจากระบบ โดย Artifact นี้จะพาผู้ใช้ไปยังเว็บไซต์ที่โฮสต์ไฟล์ติดตั้งปลอมชื่อ ClaudeDesktop.exe

 

อย่างไรก็ตาม ไฟล์ ClaudeDesktop.exe ไม่ได้เป็น Malware โดยตรง แต่เป็นคอมโพเนนต์ JetBrains Chromium ของจริงที่ถูกนำมาใช้เพื่อ Sideload ไฟล์ DLL อันตรายชื่อ libcef.dll ซึ่งเป็นตัวโหลด SectopRAT ที่มีความสามารถในการขโมยข้อมูล

หลังจากติดตั้งสำเร็จ Malware จะแฝงตัวอยู่บนเครื่องผ่านไฟล์ DockerDesktop.exe ซึ่งทำหน้าที่สร้าง Scheduled Task เพื่อให้ Malware สามารถทำงานได้ทุกครั้งที่ระบบเริ่มทำงาน

Huntress ระบุว่า Loader และ Staging Component หลายตัวที่ใช้ในกระบวนการโจมตี ถูกออกแบบให้มีเทคนิคหลบเลี่ยงการวิเคราะห์ (Anti-analysis) หลายรูปแบบ เช่น

• การแพ็กไฟล์ด้วย VMProtect
• การตรวจสอบเวลาในการประมวลผลของ Shader
• การตรวจสอบ GPU และ VRAM
• การตรวจจับการทำงานภายใน Virtual Machine (VM)

ก่อนหน้านี้ SectopRAT ยังเคยถูกพบว่าถูกแพร่กระจายผ่านแคมเปญ CastleLoader และการโจมตีแบบ ClickFix

นอกจากนี้ Malware ยังใช้เทคนิค EtherHiding เพื่อดึง Command-and-Control (C2) Address ที่ยังใช้งานได้ ผ่านธุรกรรมบน Ethereum BNB Smart Chain

SectopRAT หรือที่รู้จักในชื่อ ArechClient2 เป็น Malware ประเภท Information Stealer ที่ถูกใช้งานมาตั้งแต่ปี 2019 และรองรับฟังก์ชัน HVNC (Hidden Virtual Network Computing) ซึ่งช่วยให้ผู้โจมตีสามารถควบคุมเครื่องเหยื่อจากระยะไกล และโต้ตอบกับระบบได้แบบเรียลไทม์

Malware ตัวนี้มุ่งขโมยข้อมูลสำคัญหลายประเภท ได้แก่

• รหัสผ่านของผู้ใช้
• ข้อมูลบัตรเครดิต
• ไฟล์ภายในเครื่อง
• ข้อมูล Login และ Cookies ของ Browser
• FTP Credential
• ข้อมูลจากแอปส่งข้อความ เช่น Discord และ Telegram
• ข้อมูลจาก Steam
• ข้อมูลจากโปรแกรม VPN

 

Huntress เปิดเผยอีกว่า ในระหว่างการวิเคราะห์ พวกเขาได้ใช้ Claude Opus 4.8 เพื่อช่วยจำลองการประมวลผลของ Shader, การย้อนสร้างกระบวนการเข้ารหัส และวิเคราะห์โค้ด .NET

การวิเคราะห์ .NET Payload ที่ถูกถอดรหัสแล้ว ซึ่งก็คือ SectopRAT ทำให้นักวิจัยสามารถเชื่อมโยงการโจมตีครั้งนี้กับปฏิบัติการของ SectopRAT หรือ Fork ที่มีความเกี่ยวข้องอย่างใกล้ชิด รวมถึงช่วยขยายผลไปสู่การวิเคราะห์โครงสร้างพื้นฐานของผู้โจมตีได้

ในขั้นตอนดังกล่าว นักวิจัยพบโดเมนจำนวน 10 โดเมน ที่จดทะเบียนด้วยอีเมลเดียวกันมาตั้งแต่เดือน ธันวาคม 2025 โดยหนึ่งในโดเมนเหล่านี้เคยถูกเชื่อมโยงกับการแพร่กระจาย StealC Malware และถูกยึดระหว่างปฏิบัติการ Operation Endgame

อย่างไรก็ตาม Huntress ระบุว่า ขณะนี้ยังไม่มีหลักฐานเพียงพอที่จะระบุได้ว่าแคมเปญ FakeAgent เป็นผลงานของกลุ่ม Threat Actor ที่เป็นที่รู้จักกลุ่มใดโดยเฉพาะ

ผู้ใช้ที่ต้องการดาวน์โหลดซอฟต์แวร์ควรเลือกดาวน์โหลดจากเว็บไซต์ทางการ หรือเว็บไซด์ดาวน์โหลดอย่างเป็นทางการแทนการคลิกจากผลการค้นหา โดยเฉพาะลิงก์ที่เป็นโฆษณาซึ่งอาจถูกผู้โจมตีนำมาใช้เป็นช่องทางแพร่กระจาย Malware ได้

ที่มา : bleepingcomputer