Eine gefälschte Claude-Desktopanwendung hat die Schadsoftware RevStealer verbreitet, die darauf ausgelegt ist, Daten aus mehr als 50 Kryptowährungs-Wallets, Passwortmanagern und Webbrowsern auf Windows-Computern zu stehlen.
Zusammenfassung
- RevStealer ist in einer gefälschten Anwendung namens „Claude Opus 5 Free Desktop“ versteckt.
- Die Schadsoftware zielt auf mehr als 50 Krypto-Wallets und 12 Passwortmanager ab.
- Systemprüfungen verhindern, dass die Nutzlast in einigen virtuellen Maschinen und Analyseumgebungen ausgeführt wird.
- RevStealer sendet gestohlene Daten in verschlüsselten Datensätzen, bevor es sich selbst vom Gerät löscht.
Gefälschte Claude-App verbirgt RevStealer-Nutzlast
Das Cybersicherheitsunternehmen Morphisec erklärte in einem Bericht vom 31. August, dass RevStealer über eine trojanisierte Electron-Anwendung verbreitet wird, die als „Claude Opus 5 Free Desktop“ präsentiert wird, die das Branding von Anthropic verwendet und kostenlosen Zugang zu dessen kostenpflichtigem KI-Modell bietet.
Bevor die Schadsoftware unter dem Namen Claude auftauchte, wurde sie über GitHub-Repositories und Websites verbreitet, die Cheats für Videospiele bewarben, so Morphisec Threat Labs. Die Forscher identifizierten das Claude-bezogene GitHub-Projekt als das bemerkenswerteste Beispiel, da es das Interesse an kostenpflichtigen KI-Tools nutzte, um Menschen zur Installation unverifizierter Software zu verleiten.
Der Download kommt als Archiv von etwa 101 Megabyte, das eine 64-Bit-Electron-Anwendung enthält. Obwohl die Opfer eine funktionierende Claude-Oberfläche erwarten, stellte Morphisec fest, dass das Programm kein sichtbares Fenster öffnet und stattdessen im Hintergrund eine verschlüsselte native Nutzlast vorbereitet.
Der Lader von RevStealer speichert die Nutzlast als eine mit AES-256-CBC verschlüsselte Ressource in der Anwendung. Nachdem er seine anfänglichen Prüfungen bestanden hat, entschlüsselt er die Datei, schreibt sie unter einem zufälligen Namen im Windows-AppData-Verzeichnis und startet die Schadsoftware, ohne ein Fenster anzuzeigen.
Gleichzeitig versucht der Lader, den AppData-Ordner des Benutzers zur Ausschlussliste von Microsoft Defender hinzuzufügen. Morphisec erklärte, dass der Prozess darauf ausgelegt ist, die auf dem Gerät hinterlassenen Beweise zu begrenzen, während die Schadsoftware Informationen schnell sammeln und übertragen kann.
RevStealer prüft den Computer vor der Ausführung
Anstatt sofort seine Hauptnutzlast freizusetzen, untersucht RevStealer zunächst den Computer auf Anzeichen, dass Sicherheitsforscher ihn beobachten. Der Lader erfordert mindestens 2 Gigabyte physischen Arbeitsspeicher, zwei logische Prozessorkerne und eine erkannte Grafikkarte, so Morphisec.
Hostnamen- und Benutzernamenprüfungen vergleichen das Gerät mit einer Blockliste, die mit Forschungssystemen verbunden ist. Ein separater Timing-Test misst die Verzögerung um eine JavaScript-Debugger-Anweisung und löscht die kodierte Zeichenkettentabelle der Schadsoftware, wenn die Ausführung länger als etwa 100 Millisekunden pausiert.
Die native Stufe führt weitere 10 Prüfungen durch, die eine gewichtete Anti-VM-Bewertung ergeben. Sie untersucht auch die Spracheinstellungen des Computers und fährt auf Systemen herunter, die für Russisch, Ukrainisch und mehrere zentralasiatische Sprachen konfiguriert sind.
Die automatisierte Analyse steht vor einer weiteren Hürde durch ein CAPTCHA-Fenster, das eine Interaktion erfordert, bevor die Infektion fortgesetzt werden kann. Wenn das Gerät eine der frühen Prüfungen nicht besteht, entschlüsselt der Lader die Nutzlast nicht und setzt sie nicht aus, sodass Forscher weniger schädliche Aktivitäten zu untersuchen haben.
Sobald RevStealer läuft, löst es Windows-Anwendungsprogrammierschnittstellen auf, ohne eine Standard-Importtabelle zu verwenden. Morphisec identifizierte auch 14 indirekte Systemaufruf-Wrapper, die es der Schadsoftware ermöglichen, den Windows-Kernel zu erreichen, während exportierte Funktionen vermieden werden, die häufig von Sicherheitsprodukten überwacht werden.
„Jede Stufe davon ist auf die Annahme ausgelegt, dass etwas zusieht“, schrieb Morphisec-Forscher Shmuel Uzan.
RevStealer zielt auf Krypto-Wallets und Kontositzungen ab
Auf einem akzeptierten Gerät durchsucht RevStealer Browserdatenbanken, Verschlüsselungsschlüssel und Erweiterungsspeicher nach Informationen, die Zugang zu Online-Konten ermöglichen können. Morphisec bestätigte, dass seine Sammlungsliste den Windows-Anmeldeinformations-Manager, 12 Passwortmanager, mehr als 50 Kryptowährungs-Wallets und Browser-Sitzungscookies umfasst.
Die Schadsoftware sucht auch nach VPN-Konfigurationen, Fernzugriffs-Anmeldeinformationen, Zwischenablageinhalten, Messaging-Anwendungsdaten, ausgewählten Dokumenten, Screenshots, Spiele-Launchern und OBS-Streaming-Profilen. Informationen, die aus jeder Quelle gesammelt werden, werden in einem verschlüsselten, typisierten Datensatz abgelegt, bevor sie an den Command-and-Control-Server des Betreibers gesendet werden.
Gestohlene Browser-Cookies können ein Konto gefährden, selbst wenn der Besitzer eine Multi-Faktor-Authentifizierung verwendet. Wenn eine gültige Sitzung den Anmeldeprozess bereits durchlaufen hat, kann ein Krimineller das Cookie möglicherweise wiederverwenden, anstatt das Passwort des Opfers und den zweiten Authentifizierungsfaktor bereitzustellen, so Cybersicherheitsforscher, die in früheren Malware-Berichten zitiert wurden.
RevStealer kann auch eine alternative Serveradresse aus einem Smart Contract auf der Polygon-Blockchain wiederherstellen, wenn sein Haupt-Command-and-Control-Server nicht verfügbar ist. Morphisec sagte, dass die Methode es den Betreibern ermöglicht, die Infrastruktur zu ändern, ohne die Malware neu aufzubauen und neu zu verteilen.
Im Gegensatz zu Malware, die geplante Aufgaben oder Starteinträge erstellt, um auf einem Computer zu verbleiben, etabliert RevStealer keine Persistenz. Das Programm sammelt die verfügbaren Informationen, sendet sie an seine Betreiber und entfernt sich selbst.
Morphisec beschrieb den Vorgang als einen "einzelnen kurzen Diebstahlstoß" und warnte, dass die Anmeldeinformationen, Cookies und Wallet-Materialien möglicherweise bereits verschwunden sind, wenn ein Erkennungssystem eine Warnung zur Überprüfung erzeugt.
Fake-Software bleibt ein häufiger Köder für Krypto-Malware
Die Claude-Nachahmung folgt auf mehrere Kampagnen, bei denen Angreifer Tools zum Stehlen von Anmeldeinformationen als vertraute Anwendungen, Unterhaltungsdateien oder Software-Updates verpackten.
Im August berichtete crypto.news über gefälschte Downloads von The Odyssey, die Lumma Stealer über Windows-ausführbare Dateien lieferten, die als 1080p-, WEBRip- und Blu-ray-Filmveröffentlichungen getarnt waren. Bitdefender sagte, dass die Malware Kryptowährungs-Wallet-Daten, gespeicherte Passwörter, Zahlungsinformationen, Browser-Cookies und Remote-Desktop-Anmeldeinformationen sammeln konnte.
Eine separate Kampagne im Juli nutzte nachgeahmte Meeting-Seiten und kompromittierte Telegram-Konten, um Krypto-Arbeiter ins Visier zu nehmen. Laut Berichten über gefälschte Meetings scannten mit Nordkorea verbundene BlueNoroff-Betreiber Browser auf Ethereum- und Solana-Wallets, bevor sie einigen Opfern falsche Zoom- oder Microsoft-Teams-Updates präsentierten.
JUMPSEC fand heraus, dass die Meeting-Kampagne sowohl Windows- als auch macOS-Geräte abdeckte. Unter Windows fügte ihr PowerShell-Loader eine Microsoft-Defender-Ausnahme hinzu, während die macOS-Version Systeminformationen und Chrome-Master-Keys aus dem Apple-Keychain sammelte.
Kaspersky identifizierte im Juli ein weiteres modulares Malware-Framework, das gefälschte Wiederherstellungsbildschirme, Keylogging und Clipboard-Überwachung gegen Kryptowährungsinvestoren einsetzte. Das Unternehmen sagte, dass OkoBots 20 Module Wallet-Wiederherstellungsphrasen, Passwörter und kopierte Wallet-Adressen erfassen konnten, wobei betroffene Benutzer in Brasilien, Vietnam, Kanada, Mexiko und der Türkei gefunden wurden.
OkoBots SeedHunter-Komponente zeigte den Opfern eine falsche Wiederherstellungsoberfläche, die mit Ledger- und Trezor-Geräten verbunden war, so Kaspersky. Jede auf dem Bildschirm eingegebene Wiederherstellungsphrase wurde an die Malware-Betreiber gesendet, während ein anderes Modul offene Wallet-Fenster aufzeichnete.
US-Behörden haben ähnlichen Informationsdiebstahl verfolgt
Für Benutzer in den Vereinigten Staaten folgt der RevStealer-Bericht auf Bundesmaßnahmen gegen LummaC2, einen weiteren Malware-Dienst, der zum Sammeln von Anmeldeinformationen und Kryptowährungs-Wallet-Informationen verwendet wird.
Das US-Justizministerium sagte im Mai 2025, dass LummaC2 in mindestens 1,7 Millionen Informationsdiebstahl-Vorfällen verwendet worden sei. Bundesbehörden beschlagnahmten fünf Internet-Domains, die den Betrieb unterstützten, während Microsoft sagte, dass es half, etwa 2.300 Domains zu stören, die Teil der Infrastruktur der Malware waren.
"Malware wie LummaC2 wird eingesetzt, um sensible Informationen wie Benutzeranmeldeinformationen von Millionen von Opfern zu stehlen, um eine Reihe von Straftaten zu erleichtern, einschließlich betrügerischer Banküberweisungen und Kryptowährungsdiebstahl", sagte Matthew Galeotti, damaliger Leiter der Strafabteilung des Justizministeriums, damals.
Das Justizministerium sagte, dass die Malware über Online-Foren und einen Telegram-Kanal verkauft wurde, sodass Kunden Zugang kaufen und ihre eigenen Diebstahlkampagnen durchführen konnten. Gerichtlich angeordnete Beschlagnahmungen leiteten die fünf Hauptdomains auf von der Regierung kontrollierte Seiten um, während das Ministerium sagte, dass ausländische und inländische Partner bei der Störung halfen.
