Hati-hati! Malware SectopRAT Sebar Lewat Iklan Bing yang Meniru Aplikasi Claude

Suara Kalbar – Pengguna mesin pencari Bing yang hendak mengunduh aplikasi desktop Claude diimbau meningkatkan kewaspadaan. Perusahaan keamanan siber Huntress menemukan kampanye malvertising bertajuk FakeAgent yang memanfaatkan iklan di Bing untuk menyebarkan malware berbahaya bernama SectopRAT.

Dalam kampanye yang berlangsung pada 21–22 Juli 2026 tersebut, pelaku mengarahkan calon korban ke situs yang menampilkan installer Claude palsu. Huntress mencatat sedikitnya 29 organisasi telah menjadi korban dan perangkat mereka berhasil terinfeksi malware.

Manfaatkan Domain Resmi Claude

Dikutip dari BleepingComputer, pelaku memanfaatkan Claude Artifact berbahaya yang sempat diunggah ke domain resmi Claude.ai. Teknik serupa sebelumnya juga pernah digunakan untuk menyebarkan malware macOS melalui metode ClickFix.

Huntress mengungkapkan artifact tersebut telah diunduh sekitar 7.100 kali sebelum akhirnya dihapus oleh Anthropic.

Artifact itu kemudian mengarahkan pengguna ke situs lain yang menyediakan file installer palsu bernama ClaudeDesktop.exe.

Sekilas, file tersebut tampak seperti aplikasi resmi. Namun di baliknya, pelaku memanfaatkan komponen sah JetBrains Chromium untuk menjalankan teknik DLL sideloading terhadap file berbahaya libcef.dll.

Melalui metode tersebut, malware SectopRAT berhasil dijalankan dan memperoleh akses jarak jauh ke komputer korban guna mencuri berbagai informasi sensitif.

Gunakan Berbagai Teknik agar Sulit Terdeteksi

Huntress menjelaskan pelaku menggunakan sejumlah teknik untuk mempertahankan malware tetap aktif di perangkat korban.

Salah satunya melalui file DockerDesktop.exe yang membuat scheduled task, sehingga malware akan aktif kembali setiap kali sistem dijalankan.

Selain itu, malware juga dibekali berbagai mekanisme antianalisis untuk menghindari deteksi peneliti keamanan.

Beberapa teknik yang digunakan antara lain VMProtect packing, pemeriksaan waktu shader, deteksi GPU dan kapasitas VRAM, hingga identifikasi lingkungan virtual machine (VM).

Sembunyikan Server Lewat Blockchain

SectopRAT juga menggunakan teknik etherhiding, yaitu metode yang menyembunyikan alamat server command and control (C2) melalui transaksi pada jaringan Ethereum BNB Smart Chain.

Dengan cara tersebut, malware tidak menyimpan alamat server secara langsung di dalam kode program sehingga lebih sulit dilacak maupun diblokir oleh peneliti keamanan.

Sebelumnya, SectopRAT juga diketahui pernah didistribusikan melalui kampanye CastleLoader dan serangan ClickFix.

Aktif Sejak 2019

SectopRAT, yang juga dikenal sebagai ArechClient2, telah aktif sejak 2019 dan termasuk dalam kategori information stealer.

Malware ini memiliki kemampuan Hidden Virtual Network Computing (HVNC) yang memungkinkan pelaku mengendalikan komputer korban dari jarak jauh tanpa disadari pengguna.

Selain mengambil alih perangkat, SectopRAT dirancang untuk mencuri berbagai data penting, seperti kata sandi, informasi kartu kredit, file pribadi, kredensial FTP, cookie browser, akun Discord, Telegram, Steam, hingga data layanan VPN.

AI Claude Ikut Membantu Analisis Malware

Menariknya, Huntress juga memanfaatkan Claude Opus 4.8 dalam proses investigasi malware tersebut.

Model AI tersebut digunakan untuk membantu emulasi shader, merekonstruksi mekanisme kriptografi, serta menganalisis kode .NET yang telah berhasil didekripsi.

Melalui analisis tersebut, peneliti berhasil menghubungkan kampanye FakeAgent dengan operasi SectopRAT atau kelompok yang memiliki keterkaitan erat.

Pengguna Diminta Hanya Mengunduh dari Situs Resmi

Dalam penyelidikannya, Huntress menemukan sedikitnya 10 nama domain yang terdaftar menggunakan alamat email yang sama sejak Desember 2025.

Salah satu domain tersebut sebelumnya juga pernah dikaitkan dengan distribusi malware StealC dan sempat disita dalam operasi internasional Operation Endgame.

Meski demikian, Huntress menyatakan belum memiliki bukti yang cukup untuk mengaitkan kampanye FakeAgent dengan kelompok ancaman tertentu.

Kasus ini menjadi pengingat bahwa hasil pencarian, termasuk tautan iklan atau bersponsor di Bing, dapat dimanfaatkan pelaku kejahatan siber untuk menyebarkan malware.

Karena itu, pengguna disarankan selalu mengunduh aplikasi langsung melalui situs resmi pengembang atau kanal distribusi resmi, bukan melalui tautan iklan di mesin pencari.

Dengan semakin maraknya praktik malvertising dan penyalahgunaan domain tepercaya, kehati-hatian saat mengunduh aplikasi menjadi langkah penting untuk menghindari ancaman malware seperti SectopRAT.

Sumber: Beritasatu.com