Durante anos, especialistas em segurança ensinaram que verificar o endereço de um site era uma das formas mais eficazes de evitar golpes na internet. Mas uma campanha descoberta recentemente mostrou que essa regra já não é suficiente em todos os casos. Os criminosos encontraram uma maneira de utilizar um domínio legítimo para esconder uma página falsa, tornando o ataque muito mais difícil de identificar e aumentando as chances de sucesso.
Um domínio confiável foi usado para esconder um golpe sofisticado
Pesquisadores da empresa de cibersegurança Huntress identificaram uma campanha maliciosa batizada de FakeAgent, responsável por comprometer funcionários de pelo menos 29 organizações em apenas dois dias. O ataque começou de forma aparentemente inocente: usuários pesquisavam por “Claude desktop app” no Bing e clicavam no primeiro resultado patrocinado exibido pelo buscador.
Diferentemente dos golpes tradicionais, o anúncio direcionava a vítima para o domínio oficial do Claude.ai, plataforma de inteligência artificial desenvolvida pela Anthropic. Isso reduzia drasticamente a desconfiança dos usuários, já que o endereço exibido parecia totalmente legítimo.
O problema estava em um recurso da própria plataforma chamado Artifacts, que permite publicar páginas, documentos, códigos e outros conteúdos por meio de links públicos acessíveis até mesmo para quem não possui conta no serviço.
Os criminosos exploraram essa funcionalidade para criar uma página praticamente idêntica ao site oficial de download do aplicativo do Claude. Embora existisse um pequeno aviso informando que aquele conteúdo havia sido criado por usuários e não era verificado pela Anthropic, a mensagem passou despercebida pela maioria das vítimas.
Ao clicar no botão de download, o usuário era redirecionado para servidores externos que entregavam um instalador aparentemente legítimo, mas preparado para iniciar toda a cadeia de infecção.
O malware utilizava componentes legítimos para dificultar sua identificação
O arquivo distribuído imitava o aplicativo oficial, mas continha modificações cuidadosamente planejadas.
Os atacantes utilizaram um componente autêntico baseado no Chromium, originalmente desenvolvido pela JetBrains, alterando seu funcionamento para permitir o carregamento de uma biblioteca DLL maliciosa. Junto com ela, outros arquivos eram instalados automaticamente para manter o malware ativo mesmo após a reinicialização do computador.
O código malicioso identificado foi o SectopRAT, também conhecido como ArechClient2, uma ameaça em atividade desde 2019. Trata-se de um trojan capaz de roubar senhas, cookies, credenciais armazenadas em navegadores, informações bancárias e diversos arquivos da vítima. Além disso, ele oferece acesso remoto ao computador comprometido, permitindo que criminosos controlem o equipamento sem que o usuário perceba.
Para dificultar ainda mais a análise, o malware incorporava técnicas avançadas de evasão, incluindo verificações para identificar se estava sendo executado em máquinas virtuais utilizadas por pesquisadores de segurança. Outra característica incomum foi o uso da blockchain Ethereum para esconder os endereços dos servidores de comando e controle, dificultando sua identificação e bloqueio.
O ataque reforça que até sites confiáveis podem ser explorados
Durante a investigação, a Huntress encontrou ligações entre essa campanha e ataques anteriores que utilizavam técnicas semelhantes para distribuir programas falsos. Algumas das infraestruturas empregadas pelos criminosos já haviam sido associadas a operações desmontadas por autoridades internacionais em ações contra redes de malware.
Após receber o alerta dos pesquisadores, a Anthropic removeu rapidamente o conteúdo malicioso hospedado em sua plataforma. Mesmo assim, antes de ser retirado do ar, o link falso acumulou aproximadamente 7.100 visualizações, demonstrando o alcance da campanha.
O caso serve como um importante alerta para usuários e empresas. Hoje, verificar apenas se o endereço pertence a um domínio conhecido já não garante que o conteúdo seja seguro. Recursos que permitem a publicação de páginas por terceiros podem ser explorados por criminosos para tornar golpes muito mais convincentes.
Especialistas recomendam sempre acessar páginas de download diretamente pelos canais oficiais dos desenvolvedores, evitando clicar em anúncios patrocinados quando o objetivo for instalar softwares. Em um cenário onde até domínios legítimos podem ser usados como parte de ataques, a atenção aos detalhes continua sendo uma das principais ferramentas de defesa.
