Fałszywa aplikacja desktopowa Claude rozpowszechniła złośliwe oprogramowanie RevStealer zaprojektowane do kradzieży danych z ponad 50 portfeli kryptowalut, menedżerów haseł i przeglądarek internetowych na komputerach z systemem Windows.
Podsumowanie
- RevStealer jest ukryty w fałszywej aplikacji „Claude Opus 5 Free Desktop”.
- Złośliwe oprogramowanie atakuje ponad 50 portfeli kryptowalut i 12 menedżerów haseł.
- Kontrole systemowe uniemożliwiają uruchomienie ładunku w niektórych maszynach wirtualnych i środowiskach analitycznych.
- RevStealer wysyła skradzione dane w zaszyfrowanych rekordach, zanim usunie się z urządzenia.
Fałszywa aplikacja Claude ukrywa ładunek RevStealer
Firma zajmująca się cyberbezpieczeństwem Morphisec poinformowała w raporcie z 31 sierpnia, że RevStealer jest dostarczany przez trojanizowaną aplikację Electron prezentowaną jako „Claude Opus 5 Free Desktop”, która wykorzystuje markę Anthropic i oferuje darmowy dostęp do płatnego modelu sztucznej inteligencji.
Zanim pojawił się pod nazwą Claude, złośliwe oprogramowanie było rozpowszechniane przez repozytoria GitHub i strony internetowe reklamujące cheaty do gier wideo, według Morphisec Threat Labs. Naukowcy zidentyfikowali projekt GitHub o tematyce Claude jako najbardziej znaczący przykład, ponieważ wykorzystywał zainteresowanie płatnymi narzędziami AI, aby zachęcić ludzi do instalowania niezweryfikowanego oprogramowania.
Pobieranie przychodzi jako archiwum o rozmiarze około 101 megabajtów zawierające 64-bitową aplikację Electron. Chociaż ofiary spodziewają się działającego interfejsu Claude, Morphisec odkrył, że program nie otwiera widocznego okna, a zamiast tego przygotowuje w tle zaszyfrowany natywny ładunek.
Ładowarka RevStealer przechowuje ładunek jako zasób zaszyfrowany AES-256-CBC wewnątrz aplikacji. Po przejściu wstępnych kontroli odszyfrowuje plik, zapisuje go pod losową nazwą w katalogu AppData systemu Windows i uruchamia złośliwe oprogramowanie bez wyświetlania okna.
W tym samym czasie ładowarka próbuje dodać folder AppData użytkownika do listy wykluczeń Microsoft Defender. Morphisec stwierdził, że proces ten ma na celu ograniczenie śladów pozostawionych na urządzeniu, jednocześnie umożliwiając złośliwemu oprogramowaniu szybkie zbieranie i przesyłanie informacji.
RevStealer sprawdza komputer przed uruchomieniem
Zamiast natychmiast uwalniać swój główny ładunek, RevStealer najpierw sprawdza komputer pod kątem oznak, że obserwują go badacze bezpieczeństwa. Ładowarka wymaga co najmniej 2 gigabajtów pamięci fizycznej, dwóch logicznych rdzeni procesora i rozpoznawalnego adaptera graficznego, według Morphisec.
Kontrole nazwy hosta i nazwy użytkownika porównują urządzenie z listą blokowaną związaną z systemami badawczymi. Osobny test czasu mierzy opóźnienie wokół instrukcji debuggera JavaScript, usuwając zakodowaną tabelę ciągów złośliwego oprogramowania, gdy wykonanie wstrzymuje się na ponad około 100 milisekund.
Etap natywny przeprowadza kolejne 10 kontroli, które tworzą ważony wynik anty-maszynowy. Sprawdza również ustawienia językowe komputera i wyłącza się w systemach skonfigurowanych dla języka rosyjskiego, ukraińskiego i kilku języków środkowoazjatyckich.
Automatyczna analiza napotyka kolejną barierę w postaci okna CAPTCHA, które wymaga interakcji, zanim infekcja będzie mogła być kontynuowana. Jeśli urządzenie nie przejdzie jednej z wczesnych kontroli, ładowarka nie odszyfrowuje ani nie ujawnia ładunku, pozostawiając badaczom mniej złośliwej aktywności do zbadania.
Po uruchomieniu RevStealer rozwiązuje interfejsy API systemu Windows bez użycia standardowej tabeli importu. Morphisec zidentyfikował również 14 pośrednich wrapperów wywołań systemowych, które pozwalają złośliwemu oprogramowaniu dotrzeć do jądra Windows, unikając wyeksportowanych funkcji często monitorowanych przez produkty zabezpieczające.
„Każdy etap jest zaprojektowany wokół założenia, że coś obserwuje” – napisał badacz Morphisec, Shmuel Uzan.
RevStealer atakuje portfele kryptowalut i sesje kont
Na zaakceptowanym urządzeniu RevStealer przeszukuje bazy danych przeglądarek, klucze szyfrowania i pamięć rozszerzeń w poszukiwaniu informacji, które mogą zapewnić dostęp do kont online. Morphisec potwierdził, że jego lista kolekcji obejmuje Menedżera poświadczeń systemu Windows, 12 menedżerów haseł, ponad 50 portfeli kryptowalut i pliki cookie sesji przeglądarki.
Złośliwe oprogramowanie szuka również konfiguracji VPN, poświadczeń dostępu zdalnego, zawartości schowka, danych aplikacji do przesyłania wiadomości, wybranych dokumentów, zrzutów ekranu, launcherów gier i profili strumieniowania OBS. Informacje zebrane z każdego źródła są umieszczane w zaszyfrowanym, typowanym rekordzie przed wysłaniem na serwer dowodzenia i kontroli operatora.
Skradzione pliki cookie przeglądarki mogą ujawnić konto, nawet jeśli właściciel korzysta z uwierzytelniania wieloskładnikowego. Jeśli ważna sesja przeszła już proces logowania, przestępca może ponownie użyć pliku cookie zamiast podawać hasło ofiary i drugi czynnik uwierzytelniający, zgodnie z badaniami ekspertów ds. cyberbezpieczeństwa cytowanych we wcześniejszych raportach dotyczących złośliwego oprogramowania.
RevStealer może również odzyskać alternatywny adres serwera z inteligentnego kontraktu w blockchainie Polygon, gdy jego główny serwer dowodzenia i kontroli stanie się niedostępny. Morphisec stwierdził, że ta metoda pozwala operatorom zmieniać infrastrukturę bez przebudowywania i redystrybucji złośliwego oprogramowania.
W przeciwieństwie do złośliwego oprogramowania, które tworzy zaplanowane zadania lub wpisy startowe, aby pozostać na komputerze, RevStealer nie ustanawia trwałości. Program zbiera dostępne informacje, wysyła je do swoich operatorów i usuwa się.
Morphisec opisał operację jako „pojedynczy krótki wybuch kradzieży”, ostrzegając, że poświadczenia, pliki cookie i materiały portfela mogą już zniknąć, zanim system wykrywania wygeneruje alert do przeglądu.
Fałszywe oprogramowanie pozostaje częstą przynętą na złośliwe oprogramowanie kryptowalutowe
Podszywanie się pod Claude następuje po kilku kampaniach, w których atakujący pakowali narzędzia do kradzieży poświadczeń jako znane aplikacje, pliki rozrywkowe lub aktualizacje oprogramowania.
W sierpniu crypto.news poinformował, że fałszywe pobrania The Odyssey dostarczały Lumma Stealer za pośrednictwem plików wykonywalnych Windows zamaskowanych jako wydania filmów 1080p, WEBRip i Blu-ray. Bitdefender stwierdził, że złośliwe oprogramowanie mogło zbierać dane portfela kryptowalut, zapisane hasła, informacje o płatnościach, pliki cookie przeglądarki i poświadczenia pulpitu zdalnego.
Osobna kampania z lipca wykorzystywała strony spotkań podobne do prawdziwych oraz skompromitowane konta Telegram, aby celować w pracowników kryptowalut. Według raportów o fałszywych spotkaniach, operatorzy BlueNoroff powiązani z Koreą Północną skanowali przeglądarki w poszukiwaniu portfeli Ethereum i Solana, zanim przedstawili niektórym ofiarom fałszywe aktualizacje Zoom lub Microsoft Teams.
JUMPSEC odkrył, że kampania spotkań obejmowała zarówno urządzenia z systemem Windows, jak i macOS. W systemie Windows jego loader PowerShell dodał wykluczenie Microsoft Defender, podczas gdy wersja na macOS zbierała informacje o systemie i klucze główne Chrome z pęku kluczy Apple.
Kaspersky zidentyfikował w lipcu kolejny modułowy framework złośliwego oprogramowania, który wykorzystywał fałszywe ekrany odzyskiwania, keylogging i monitorowanie schowka przeciwko inwestorom kryptowalut. Firma stwierdziła, że 20 modułów OkoBot mogło przechwytywać frazy odzyskiwania portfela, hasła i skopiowane adresy portfeli, a dotknięci użytkownicy znajdowali się w Brazylii, Wietnamie, Kanadzie, Meksyku i Turcji.
Komponent SeedHunter OkoBot pokazywał ofiarom fałszywy interfejs odzyskiwania powiązany z urządzeniami Ledger i Trezor, według Kaspersky. Każda fraza odzyskiwania wprowadzona na ekranie była wysyłana do operatorów złośliwego oprogramowania, podczas gdy inny moduł rejestrował otwarte okna portfeli.
Władze USA śledziły podobną kradzież informacji
Dla użytkowników w Stanach Zjednoczonych raport RevStealer następuje po federalnych działaniach przeciwko LummaC2, kolejnej usłudze złośliwego oprogramowania używanej do zbierania poświadczeń i informacji o portfelach kryptowalut.
Departament Sprawiedliwości USA stwierdził w maju 2025 r., że LummaC2 został użyty w co najmniej 1,7 miliona incydentów kradzieży informacji. Władze federalne przejęły pięć domen internetowych wspierających operację, podczas gdy Microsoft stwierdził, że pomógł zakłócić około 2300 domen stanowiących część infrastruktury złośliwego oprogramowania.
„Złośliwe oprogramowanie takie jak LummaC2 jest wdrażane w celu kradzieży wrażliwych informacji, takich jak dane logowania użytkowników, od milionów ofiar, aby ułatwić szereg przestępstw, w tym oszukańcze przelewy bankowe i kradzież kryptowalut” – powiedział wówczas Matthew Galeotti, ówczesny szef Wydziału Karnego Departamentu Sprawiedliwości.
Departament Sprawiedliwości stwierdził, że złośliwe oprogramowanie było sprzedawane za pośrednictwem forów internetowych i kanału Telegram, umożliwiając klientom zakup dostępu i prowadzenie własnych kampanii kradzieży. Zatwierdzone przez sąd przejęcia przekierowały pięć głównych domen na strony kontrolowane przez rząd, podczas gdy departament stwierdził, że zagraniczni i krajowi partnerzy pomogli w zakłóceniu.
