Laut Huntress setzte die Kampagne auf eine Methode, die Angreifer bereits zu Beginn des Jahres genutzt hatten, um über ClickFix-Köder Schadsoftware für macOS zu verbreiten: Missbrauch vertrauenswürdiger Infrastruktur, in diesem Fall ein bösartiges Claude Artifact auf einer legitimen Domain von Claude. Über Bing-Anzeigen wurden Nutzer dorthin geführt und anschließend auf Seiten mit dem gefälschten Installationsprogramm weitergeleitet.
Die Datei „ClaudeDesktop.exe“ ist den Forschern zufolge eine legitime JetBrains-Chromium-Komponente. Ihre Rolle in der Infektionskette besteht darin, eine schädliche Bibliothek mit dem Namen „libcef.dll“ per Sideloading zu laden. Darüber wird der Remote-Access-Trojaner SectopRAT installiert. Für die Persistenz sorgt ein weiteres Programm namens „DockerDesktop.exe“, das eine geplante Aufgabe einrichtet.
Huntress beschreibt die in der Kette verwendeten Loader- und Staging-Komponenten als stark gegen Analyse abgesichert. Genannt werden unter anderem VMProtect-Packung, Zeitprüfungen über Shader, Prüfungen von GPU und Videospeicher sowie die Erkennung virtueller Maschinen.
SectopRAT wurde laut dem Bericht kürzlich auch in Kampagnen mit CastleLoader und in ClickFix-Angriffen beobachtet. Die Schadsoftware, auch unter dem Namen ArechClient2 bekannt, ist seit 2019 aktiv. Es handelt sich um einen Infostealer mit HVNC-Funktionalität, also einer versteckten Form von Virtual Network Computing. Damit sind ferngesteuerte Eingriffe und eine Interaktion in Echtzeit mit kompromittierten Systemen möglich.
Zu den Zielen der Malware zählen Benutzerpasswörter, Kreditkartendaten, Dateien, Browser-Anmeldedaten und Cookies, FTP-Zugangsdaten sowie Daten aus verschiedenen Messaging-Clients, darunter Discord und Telegram. Ebenfalls im Fokus stehen Steam und VPN-Produkte.
Für die Kommunikation mit der Angreifer-Infrastruktur nutzt SectopRAT die Technik EtherHiding. Dabei wird eine funktionsfähige Command-and-Control-Adresse über Transaktionen in der Ethereum BNB Smart Chain abgerufen.
Huntress berichtet zudem, für Teile der Analyse Claude Opus 4.8 eingesetzt zu haben, unter anderem zur Emulation von Shadern, zur Rekonstruktion kryptografischer Abläufe und zur Analyse von .NET-Code. Die Untersuchung der entschlüsselten .NET-Nutzlast half den Forschern zufolge dabei, die Angriffe SectopRAT-Operationen oder einem eng verwandten Fork zuzuordnen und die zugehörige Infrastruktur weiter zu analysieren.
In diesem Schritt identifizierten die Forscher zehn Domains, die seit Dezember 2025 auf dieselbe E-Mail-Adresse registriert wurden. Eine davon war zuvor bereits mit der Verbreitung von StealC in Verbindung gebracht und während Operation Endgame beschlagnahmt worden. Für eine eindeutige Zuordnung der FakeAgent-Kampagne zu einem bekannten Bedrohungscluster reichen die Belege laut Huntress jedoch nicht aus.