Une fausse application Claude cible plus de 50 portefeuilles de cryptomonnaies avec RevStealer

Une fausse application de bureau Claude a distribué le malware RevStealer conçu pour voler des données de plus de 50 portefeuilles de cryptomonnaies, gestionnaires de mots de passe et navigateurs web sur les ordinateurs Windows.

Une fausse application Claude dissimule le payload RevStealer

La société de cybersécurité Morphisec a déclaré dans un rapport du 31 août que RevStealer est distribué via une application Electron trojanisée présentée comme « Claude Opus 5 Free Desktop », qui utilise la marque d'Anthropic et offre un accès gratuit à son modèle d'intelligence artificielle payant.

Avant d'apparaître sous le nom de Claude, le malware était distribué via des dépôts GitHub et des sites web faisant la publicité de triches pour jeux vidéo, selon Morphisec Threat Labs. Les chercheurs ont identifié le projet GitHub sur le thème de Claude comme l'exemple le plus notable car il utilisait l'intérêt pour les outils d'IA payants pour inciter les gens à installer des logiciels non vérifiés.

Le téléchargement arrive sous forme d'archive d'environ 101 mégaoctets contenant une application Electron 64 bits. Bien que les victimes s'attendent à une interface Claude fonctionnelle, Morphisec a constaté que le programme n'ouvre aucune fenêtre visible et prépare plutôt un payload natif chiffré en arrière-plan.

Le chargeur de RevStealer stocke le payload comme une ressource chiffrée AES-256-CBC dans l'application. Après avoir effectué ses vérifications initiales, il déchiffre le fichier, l'écrit sous un nom aléatoire dans le répertoire AppData de Windows et lance le malware sans afficher de fenêtre.

En même temps, le chargeur tente d'ajouter le dossier AppData de l'utilisateur à la liste d'exclusions de Microsoft Defender. Morphisec a déclaré que ce processus est conçu pour limiter les preuves laissées sur l'appareil tout en permettant au malware de collecter et de transmettre rapidement des informations.

RevStealer vérifie l'ordinateur avant de s'exécuter

Plutôt que de libérer immédiatement son payload principal, RevStealer examine d'abord l'ordinateur pour détecter des signes que des chercheurs en sécurité l'observent. Le chargeur exige au moins 2 gigaoctets de mémoire physique, deux cœurs de processeur logiques et une carte graphique reconnue, selon Morphisec.

Les vérifications du nom d'hôte et du nom d'utilisateur comparent l'appareil à une liste noire associée aux systèmes de recherche. Un test de synchronisation séparé mesure le délai autour d'une instruction de débogage JavaScript, effaçant la table de chaînes encodées du malware lorsque l'exécution est interrompue pendant plus d'environ 100 millisecondes.

L'étape native effectue 10 autres vérifications qui produisent un score anti-machine virtuelle pondéré. Il examine également les paramètres de langue de l'ordinateur et s'arrête sur les systèmes configurés en russe, ukrainien et plusieurs langues d'Asie centrale.

L'analyse automatisée rencontre un autre obstacle à travers une fenêtre CAPTCHA, qui nécessite une interaction avant que l'infection puisse continuer. Si l'appareil échoue à l'une des vérifications précoces, le chargeur ne déchiffre pas et n'expose pas le payload, laissant aux chercheurs moins d'activité malveillante à examiner.

Une fois en cours d'exécution, RevStealer résout les interfaces de programmation d'applications Windows sans utiliser de table d'importation standard. Morphisec a également identifié 14 wrappers d'appels système indirects qui permettent au malware d'atteindre le noyau Windows tout en évitant les fonctions exportées couramment surveillées par les produits de sécurité.

« Chaque étape est conçue en partant du principe que quelque chose observe », a écrit le chercheur de Morphisec, Shmuel Uzan.

RevStealer cible les portefeuilles de cryptomonnaies et les sessions de compte

Sur un appareil accepté, RevStealer recherche dans les bases de données des navigateurs, les clés de chiffrement et le stockage des extensions des informations pouvant donner accès à des comptes en ligne. Morphisec a confirmé que sa liste de collecte comprend le gestionnaire d'informations d'identification Windows, 12 gestionnaires de mots de passe, plus de 50 portefeuilles de cryptomonnaies et les cookies de session des navigateurs.

Le malware recherche également les configurations VPN, les identifiants d'accès à distance, le contenu du presse-papiers, les données des applications de messagerie, certains documents, des captures d'écran, les lanceurs de jeux et les profils de streaming OBS. Les informations collectées à partir de chaque source sont placées dans un enregistrement chiffré et typé avant d'être envoyées au serveur de commande et de contrôle de l'opérateur.

Les cookies de navigateur volés peuvent exposer un compte même lorsque le propriétaire utilise l'authentification multifacteur. Si une session valide a déjà passé le processus de connexion, un criminel peut être en mesure de réutiliser le cookie au lieu de fournir le mot de passe de la victime et le deuxième facteur d'authentification, selon des chercheurs en cybersécurité cités dans des rapports précédents sur les logiciels malveillants.

RevStealer peut également récupérer une adresse de serveur alternative à partir d'un contrat intelligent sur la blockchain Polygon lorsque son serveur de commande et de contrôle principal devient indisponible. Morphisec a déclaré que cette méthode permet à ses opérateurs de changer d'infrastructure sans avoir à reconstruire et redistribuer le logiciel malveillant.

Contrairement aux logiciels malveillants qui créent des tâches planifiées ou des entrées de démarrage pour rester sur un ordinateur, RevStealer n'établit pas de persistance. Le programme collecte les informations disponibles, les envoie à ses opérateurs, puis se supprime.

Morphisec a décrit l'opération comme une « courte rafale de vol », avertissant que les identifiants, les cookies et le matériel de portefeuille peuvent déjà avoir disparu au moment où un système de détection produit une alerte pour examen.

Les faux logiciels restent un appât courant pour les malwares cryptographiques

L'usurpation de Claude fait suite à plusieurs campagnes dans lesquelles des attaquants ont emballé des outils de vol d'identifiants sous forme d'applications familières, de fichiers de divertissement ou de mises à jour logicielles.

En août, crypto.news a rapporté que de faux téléchargements de The Odyssey distribuaient Lumma Stealer via des fichiers exécutables Windows déguisés en versions 1080p, WEBRip et Blu-ray. Bitdefender a déclaré que le logiciel malveillant pouvait collecter des données de portefeuille de cryptomonnaie, des mots de passe enregistrés, des informations de paiement, des cookies de navigateur et des identifiants de bureau à distance.

Une campagne distincte de juillet a utilisé de fausses pages de réunion et des comptes Telegram compromis pour cibler les travailleurs de la cryptomonnaie. Selon des rapports sur de fausses réunions, les opérateurs de BlueNoroff liés à la Corée du Nord ont analysé les navigateurs à la recherche de portefeuilles Ethereum et Solana avant de présenter à certaines victimes de fausses mises à jour de Zoom ou Microsoft Teams.

JUMPSEC a constaté que la campagne de réunions couvrait à la fois les appareils Windows et macOS. Sur Windows, son chargeur PowerShell a ajouté une exclusion de Microsoft Defender, tandis que la version macOS collectait des informations système et les clés maîtres Chrome du trousseau d'Apple.

Kaspersky a identifié un autre framework de malware modulaire en juillet qui utilisait de faux écrans de récupération, l'enregistrement des frappes clavier et la surveillance du presse-papiers contre les investisseurs en cryptomonnaie. La société a déclaré que les 20 modules d'OkoBot pouvaient capturer les phrases de récupération de portefeuille, les mots de passe et les adresses de portefeuille copiées, avec des utilisateurs affectés trouvés au Brésil, au Vietnam, au Canada, au Mexique et en Turquie.

Le composant SeedHunter d'OkoBot a montré aux victimes une fausse interface de récupération associée aux appareils Ledger et Trezor, selon Kaspersky. Toute phrase de récupération saisie à l'écran était envoyée aux opérateurs du malware, tandis qu'un autre module enregistrait les fenêtres de portefeuille ouvertes.

Les autorités américaines ont suivi des vols d'informations similaires

Pour les utilisateurs aux États-Unis, le rapport sur RevStealer fait suite à une action fédérale contre LummaC2, un autre service de malware utilisé pour collecter des identifiants et des informations de portefeuille de cryptomonnaie.

Le ministère de la Justice des États-Unis a déclaré en mai 2025 que LummaC2 avait été utilisé dans au moins 1,7 million d'incidents de vol d'informations. Les autorités fédérales ont saisi cinq domaines Internet soutenant l'opération, tandis que Microsoft a déclaré avoir aidé à perturber environ 2 300 domaines faisant partie de l'infrastructure du malware.

« Des malwares comme LummaC2 sont déployés pour voler des informations sensibles telles que les identifiants de connexion de millions de victimes afin de faciliter une série de crimes, y compris les transferts bancaires frauduleux et le vol de cryptomonnaie », a déclaré Matthew Galeotti, alors chef de la division criminelle du ministère de la Justice, à l'époque.

Le ministère de la Justice a déclaré que le malware était vendu via des forums en ligne et une chaîne Telegram, permettant aux clients d'acheter un accès et de mener leurs propres campagnes de vol. Les saisies autorisées par le tribunal ont redirigé les cinq principaux domaines vers des pages contrôlées par le gouvernement, tandis que le ministère a déclaré que des partenaires étrangers et nationaux ont aidé à la perturbation.