Bingの広告ネットワークに掲載されたマルアドキャンペーンが、Claude.aiドメインを偽装して偽のClaudeDesktop.exeアプリを配布した。このファイルは実際にはJetBrains Chromiumコンポーネントを含むインストーラーだったが、バックグラウンドでlibcef.dllという悪性DLLをロードし、SectopRATトロイの木馬をシステムに侵入させた。

SectopRATは2019年から活動を続ける情報窃取マルウェアで、HVNC機能によりターゲットシステムへのリアルタイム遠隔アクセスを可能にする。ユーザーのパスワード、クレジットカード情報、ブラウザクッキー、DiscordやTelegramなどのアプリデータを標的にする。このマルウェアは、EthereumのBNBスマートコントラクトを用いてEtherHiding技術でC2サーバーに接続する。

攻撃者は仮想マシンやGPUスキャンなどのアンチアナリシス手法で解析を回避し、Huntressチームは悪性コードの.NETコンポーネントを解読して攻撃の源を追跡した。10の異なるドメインが同じメールアドレスに登録されていることが判明。そのうち1つは以前、StealCの配布に使われていたものだった。