![](\"https:\/\/es.gizmodo.com\/app\/uploads\/2026\/07\/claude-1024x683.jpg\")
<\/p>\n<\/p>\n
Investigadores de la firma de ciberseguridad Huntress documentaron una campa\u00f1a de publicidad maliciosa a la que bautizaron <\/span>FakeAgent<\/span>, que comprometi\u00f3 a empleados de al menos 29 organizaciones durante dos d\u00edas de julio, despu\u00e9s de que buscaran la aplicaci\u00f3n de escritorio de Claude y hicieran clic en un anuncio patrocinado en Bing.<\/span><\/p>\n A diferencia de otros anuncios maliciosos que redirigen a dominios falsos f\u00e1cilmente identificables, este llevaba al dominio leg\u00edtimo de claude.ai. Desde ah\u00ed, sin embargo, dirig\u00eda a los usuarios hacia un artefacto p\u00fablico creado por el atacante, que imitaba con precisi\u00f3n el sitio oficial de descarga de la aplicaci\u00f3n.<\/span><\/p>\n La funci\u00f3n Artifacts de Claude.ai permite mostrar contenido como c\u00f3digo, documentos o p\u00e1ginas web en un panel junto a la conversaci\u00f3n, y ofrece la opci\u00f3n de publicar ese contenido con un enlace p\u00fablico accesible incluso sin cuenta en la plataforma. El atacante aprovech\u00f3 esa funci\u00f3n para alojar una p\u00e1gina que imitaba fielmente el sitio de descarga real, dentro del propio dominio de Anthropic.<\/span><\/p>\n La \u00fanica se\u00f1al visible sobre el origen del contenido era un aviso discreto que advert\u00eda que se trataba de contenido generado por usuarios y no verificado, un mensaje que la mayor\u00eda de las v\u00edctimas simplemente no lleg\u00f3 a notar.<\/span><\/p>\n Al presionar el bot\u00f3n de descarga, la v\u00edctima era redirigida a dominios externos que entregaban un paquete de archivos con un instalador falso llamado ClaudeDesktop.exe. Ese archivo era, en realidad, un componente Chromium leg\u00edtimo de JetBrains, modificado para permitir la carga lateral de una librer\u00eda DLL maliciosa.<\/span><\/p>\n Junto a ese componente se inclu\u00eda una versi\u00f3n alterada de libcef.dll, encargada de transportar el troyano, adem\u00e1s de un ejecutable llamado DockerDesktop.exe que se instalaba como tarea programada para mantener la infecci\u00f3n activa incluso despu\u00e9s de reiniciar el equipo.<\/span><\/p>\n El troyano identificado, SectopRAT, tambi\u00e9n conocido como ArechClient2, est\u00e1 activo desde 2019 y funciona como un ladr\u00f3n de informaci\u00f3n con capacidades de acceso remoto oculto, lo que le permite a un atacante operar el equipo comprometido en tiempo real. Su objetivo incluye contrase\u00f1as, datos de tarjetas bancarias, archivos, credenciales de navegador y cookies.<\/span><\/p>\n Para dificultar su detecci\u00f3n, la cadena de infecci\u00f3n incorpor\u00f3 varias capas de protecci\u00f3n contra el an\u00e1lisis, entre ellas comprobaciones de hardware gr\u00e1fico pensadas para detectar si el malware corr\u00eda dentro de una m\u00e1quina virtual. Las direcciones del servidor de control del ataque, adem\u00e1s, se ocultaban dentro de transacciones de la blockchain de Ethereum, una t\u00e9cnica que le permite al operador rotar su infraestructura sin depender de servidores que puedan darse de baja f\u00e1cilmente.<\/span><\/p>\n El registro WHOIS y datos de la plataforma Validin permitieron a Huntress vincular el dominio usado en el ataque con una direcci\u00f3n de correo electr\u00f3nico asociada a al menos diez dominios creados desde diciembre de 2025, entre ellos uno que ya hab\u00eda sido incautado por Microsoft durante la Operaci\u00f3n Endgame por alojar otro ladr\u00f3n de informaci\u00f3n.<\/span><\/p>\n Los investigadores tambi\u00e9n hallaron coincidencias con una campa\u00f1a de abril de 2026 que distribu\u00eda un instalador falso de Docker Desktop a trav\u00e9s de Docker Hub, usando la misma t\u00e9cnica de carga lateral de la librer\u00eda libcef.dll, lo que explica la presencia del archivo DockerDesktop.exe en el paquete detectado ahora.<\/span><\/p>\n Anthropic retir\u00f3 el artefacto malicioso una vez que Huntress lo report\u00f3, aunque no antes de que acumulara unas 7.100 visualizaciones. Los investigadores recomendaron no confiar de forma autom\u00e1tica en anuncios de buscadores ni asumir que un dominio de primer nivel conocido garantiza la legitimidad de una descarga, y remarcaron que la verificaci\u00f3n directa desde los canales oficiales de cada desarrollador sigue siendo la defensa m\u00e1s efectiva frente a este tipo de campa\u00f1as.<\/span><\/p>\n<\/p><\/div>\n","protected":false},"excerpt":{"rendered":" Investigadores de la firma de ciberseguridad Huntress documentaron una campa\u00f1a de publicidad maliciosa a la que bautizaron FakeAgent, que comprometi\u00f3 a empleados de al menos 29 organizaciones durante dos d\u00edas de julio, despu\u00e9s de que buscaran la aplicaci\u00f3n de escritorio de Claude y hicieran clic en un anuncio patrocinado en Bing. A diferencia de otros […]<\/p>\n","protected":false},"author":1,"featured_media":13339,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-13338","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sin-categoria"],"_links":{"self":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts\/13338","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=13338"}],"version-history":[{"count":0,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts\/13338\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/media\/13339"}],"wp:attachment":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=13338"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=13338"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=13338"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}C\u00f3mo funciona Artifacts y por qu\u00e9 result\u00f3 el punto d\u00e9bil<\/b><\/h2>\n
La cadena de infecci\u00f3n: de un instalador leg\u00edtimo a un troyano oculto<\/b><\/h2>\n
SectopRAT: qu\u00e9 roba y c\u00f3mo se esconde<\/b><\/h2>\n
El rastro que conecta este ataque con campa\u00f1as anteriores<\/b><\/h2>\n
Qu\u00e9 recomiendan los investigadores<\/b><\/h2>\n