Huntressの研究者らは、Anthropic自身のclaude.aiドメイン上でホストされている公開Artifactを悪用し、情報窃取型トロイの木馬SectopRATを配布するマルバタイジング（不正広告）キャンペーンを公表しました。このキャンペーンにより、わずか2日間で少なくとも29組織が侵害されたとのことです。
Huntressが「FakeAgent」と名付けたこのキャンペーンは、2026年7月21日から22日にかけて実行されました。Bingで「Claude Desktop app」を検索した被害者には、スポンサー広告が表示されましたが、周囲の悪意ある広告とは異なり、この広告は正規のclaude.aiドメインへのリンクになっていました。しかし、そのリンクの先はAnthropicの正規ダウンロードページではなく、公開されているClaude Artifact(Anthropicがユーザーによるホスティングと共有を許可しているユーザー生成コンテンツ)であり、公式のClaude Desktopインストーラーを模倣するよう作り込まれていました。
偽装されたArtifact上で「Download」をクリックすると、被害者はclaude.ai.download-app[.]usを含む攻撃者制御下の複数のドメインを経由してリダイレクトされ、最終的に悪意あるClaudeDesktop.exeファイルが配信される仕組みでした。HuntressはこのArtifactをAnthropicに報告し、Anthropicは7月22日にこれを削除しましたが、その時点でページの閲覧数はすでに7,100回を超えていました。
サイドローディングと解析回避の手口
Huntressの技術レポートによると、この悪意ある実行ファイルは実際にはClaude Desktopインストーラーではなく、DLLサイドローディングの脆弱性を持つJetBrainsのバイナリ(jcef_helper.exe)を流用したものでした。真のペイロードは改ざんされたlibcef.dllに仕込まれており、リバースエンジニアリングを妨害するために商用プロテクターであるVMProtectでパッキングされていました。
署名済みのIBM SPSSバイナリと悪意あるtempdir.dllを介して配信される第2段階では、GPUを利用した解析回避チェックが実装されていました。これはDirectXのグラフィックアダプターを調べ、QEMUやVMwareなど仮想マシンに関連する特徴を検出するとともに、シェーダーの実行時間を計測したうえで実行の可否を判断するというものです。
注目すべきは、このマルウェアの中核となるペイロードが、従来型のCPUベースの処理ではなく、カスタムのDirectXシェーダーを用いて復号されていた点です。Huntressによれば、この手法は標準的なリバースエンジニアリングツールにとってはほぼ解析不能に近いといいます。調査担当者はClaude Opus 4.8を活用してSM5バイトコードインタープリターを再構築し、シェーダーが使用するAES-256-CTRの鍵情報を復元しました。この作業により、最終的にマルウェアの正体が判明しました。それが、ブラウザの認証情報、自動入力データ、クレジットカード情報、ファイルを窃取するよう設計されたリモートアクセス型トロイの木馬、SectopRATです。
このマルウェアのコマンド&コントロール基盤は、イーサリアムのブロックチェーン上のトランザクション内に隠されていました。これは「EtherHiding」と呼ばれる手法で、テイクダウンに弱いサーバーに依存するのではなく、新たなトランザクションを投稿することでインフラをローテーションできるようにするものです。
攻撃者の特定とこれまでの活動
Huntressは、WHOIS情報とValidinの脅威インテリジェンスデータを用いて、このキャンペーンのインフラ登録に使われたメールアドレスを、2025年12月にまで遡る少なくとも10件の別ドメインと結び付けました。その中には、StealCスティーラーをホストしていたとしてMicrosoftがOperation Endgameの一環で押収したドメインも含まれています。また研究者らは、この攻撃者を2026年4月に確認された過去のキャンペーンとも関連付けています。このキャンペーンでは、Docker Hub経由で配布された、同様のテーマを持つ偽のDocker Desktopインストーラーが使用されていました。
Huntressによれば、イーサリアムを基盤としたコマンド&コントロール用トランザクションの分析から、この攻撃者の活動は2025年5月にまで遡って確認できるとのことです。
業界への影響
今回の事件は、攻撃者がタイポスクワッティングされたドメインのみに頼るのではなく、AIツールプラットフォーム自体を直接標的にする傾向が強まっていることを浮き彫りにしています。Huntressは、これが孤立した事例ではないと指摘し、同様の偽Claudeダウンロードキャンペーンに関する過去の報告にも言及しています。
Huntressは調査結果の中で「トップレベルドメインを無条件に信頼してはならない」と述べ、SEOポイズニングやマルバタイジングが初期侵入経路として長らく蔓延していることを踏まえ、検索エンジンの広告についてはそれがどのドメインを名乗っていようと注意を払うようユーザーに呼びかけています。
侵害指標(IOC)や、ブロックチェーン上のトランザクションから抽出された過去のコマンド&コントロール用IPアドレス一覧を含む詳細な技術分析は、Huntressのブログで公開されています:https://www.huntress.com/blog/fakeagent-claude-desktop-malvertising-ends-in-dotnet-rat
