Claude Desktop偽インストーラー、DLLサイドローディングとブロックチェーンC2でSectopRATを展開

Claude Desktopの偽インストーラーを使ったキャンペーンが確認されました。Bingの不正広告を悪用して信頼されているClaude.aiがホストするコンテンツになりすまし、DLLサイドローディングとブロックチェーンベースのコマンド&コントロール(C2)を組み合わせて、リモートアクセス型トロイの木馬SectopRATを展開しています。

CyberProofの研究者によると、エージェント主導の脅威ハンティングによってエンドポイントのテレメトリ全体から侵入経路を約10分で特定し、単一の不審なスケジュールタスクを多段階のインシデントとして確認したとのことです。

この活動は、Huntressが7月に少なくとも29の組織を侵害したと最初に報告したキャンペーン「FakeAgent」と一致しています。

Bingで「Claude Desktop」を検索した被害者は、スポンサー付き検索結果を通じて、正規のClaude.aiドメイン上でホストされている悪意のある公開Claude Artifactへ誘導されました。

このArtifactは、トロイの木馬化されたClaudeDesktop.exeのダウンロードを提供する攻撃者管理下のインフラへ被害者をリダイレクトしました。

信頼されているAIプラットフォームの悪用が、このキャンペーンの効果を支える核心です。最初のページはClaude.aiから信頼性を引き継いでおり、実際のマルウェアのダウンロードは、被害者が一見正規に見えるインストーラーリンクをクリックした後にのみ発生します。

アンチウイルス&マルウェア

Huntressの報告によると、悪意のあるArtifactの一つは削除されるまでに7,100回以上ダウンロードされていました。

明らかな未署名のローダーを配布するのではなく、この偽インストーラーは正規のJetBrains製Java Chromium Embedded Framework(JCEF)コンポーネントを悪用しています。

ClaudeDesktop.exeを装ったファイルの実体はJCEFヘルパーバイナリであり、非標準のディレクトリから悪意のあるlibcef.dllをサイドロードします。

そのコマンドは正規のMicrosoft Edgeブラウザのアップデートタスクを模倣しつつ、ランダム化されたAppData\Roamingサブフォルダー内に置かれた実行ファイルを直接指し示します。

これにより攻撃者が管理するDLLが信頼されている実行ファイルのコンテキストで実行されるようになり、ファイル名や製品メタデータ、基本的なコード署名の確認に頼っている防御担当者を欺く可能性があります。

CyberProofの調査は、偽のClaudeインストーラーによって作成された偽装スケジュールタスクの発見から始まりました。MicrosoftEdgeUpdateという名前のタスクは、ユーザーのログオン時に/rl highestオプション付きでランダム化されたAppData\RoamingフォルダーからDockerDesktop.exeを起動するよう設定されていました。

Claude Desktop偽インストーラー

この命名は正規のブラウザアップデーターを模倣しており、実行パスと昇格されたログオントリガーによって、ユーザー書き込み可能な場所から永続的な足場を確立しています。

2つ目のバイナリであるDockerDesktop.exeは、永続化ローダーとして機能します。報告されたテレメトリによると、この悪意のある一連の動作には、ユーザープロファイルパスに対してMicrosoft Defenderの除外設定を作成するPowerShellコマンドも含まれており、ペイロードの展開・実行中にローカル検知の可能性を減らしていました。

CyberProofは、影響を受けたホスト上の狭い時間枠の中で、インストーラーの実行、DLLサイドローディング、Defenderの改ざん、タスク作成を関連付けました。

FakeAgentのインフラは、従来型の妨害策への耐性を持つよう設計されています。SectopRATはEtherHidingと呼ばれる手法を使用しており、これはマルウェアが固定の攻撃者ドメインに依存する代わりに、ブロックチェーン取引やスマートコントラクトに紐づいたデータから暗号化されたC2設定データを取得する手法です。

Huntressは、この仕組みの一部としてEthereumおよびBNB Smart Chainの取引データを特定しました。

この設計により、ネットワークベースの検知が複雑になります。感染したエンドポイントは、静的な悪意のあるドメインへの明白なコールバックを生成する代わりに、公開されているブロックチェーンのRPCインフラにアクセスして更新されたC2アドレスを取得する場合があります。

攻撃者はオンチェーンデータを更新することでバックエンドインフラをローテーションでき、個々のドメインやサーバーがブロックされてもアクセスを維持できます。

データプライバシーコンサルティング

SectopRAT(ArechClient2としても知られています)は、.NETベースの情報窃取型マルウェア兼RATであり、ブラウザの認証情報、クッキー、決済カード情報、ファイル、メッセージングアプリの情報、VPN認証情報、暗号通貨ウォレットのデータを収集する能力を備えています。

また、そのステルス性の高いVNC(仮想ネットワークコンピューティング)機能により、オペレーターは侵害されたシステムに対して秘密裏にリモート操作できます。

防御担当者は、ブランド名に基づく検知よりも、プロセスおよびファイルの系統分析を優先すべきです。有力な調査の手がかりとなるのは、対象の実行ファイルがAppData、Downloads、その他のユーザー書き込み可能なディレクトリに置かれている場合に特に注目すべき、/rl highest付きでログオンタスクを作成するschtasks.exe /createコマンドです。

MicrosoftEdgeUpdateやGoogleUpdateという名前のタスクは、実際のバイナリパスと照合して確認する必要があります。

その他の指標としては、ClaudeDesktop.exeやDockerDesktop.exeのプロセスが想定外のProgram Files以外の場所からlibcef.dllを読み込んでいること、Claudeのインストーラーを名乗るファイルのメタデータが実際にはJCEFヘルパーであると示していること、インストーラー実行直後にAdd-MpPreference -ExclusionPathが実行されていることなどが挙げられます。

セキュリティチームは、新たにダウンロードされた実行ファイルが生成する送信ブロックチェーンRPCトラフィックについても調査すべきです。特に、DLLサイドローディングや不審な永続化の作成の直後にそれが発生している場合は注意が必要です。

CyberProofによると、対応チームは該当エンドポイントを隔離し、ユーザートークンを失効させ、認証情報をリセットし、Defenderの除外設定とスケジュールタスクを削除した上でデバイスを再イメージ化し、後続の不正利用がないかIDに関する活動を精査したとのことです。

SectopRATが持つ認証情報窃取およびリモートアクセスの能力を踏まえると、目に見える永続化の仕組みを取り除くだけでは十分な修復とは言えません。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード

セキュリティ製品&サービス