Сообщается, что поддельное настольное приложение Claude используется для распространения RevStealer, вредоносного ПО для Windows, созданного для кражи криптовалюты, паролей и данных браузера.
Согласно отчету, опубликованному в понедельник компанией по кибербезопасности Morphisec, RevStealer ранее распространялся через репозитории GitHub и сайты, посвященные читерским играм, но наиболее заметным из них является поддельный проект «Claude Opus 5 Free Desktop», который выдает себя за разработчика искусственного интеллекта Anthropic и обещает бесплатный доступ к Клоду.
Исследователи отметили, что вредоносное ПО предназначено для того, чтобы оставлять мало следов и искать в базах данных браузера, файлах cookie, записях менеджера паролей, настройках VPN и удаленного доступа, данных обмена сообщениями, скриншотах и избранных документах. RevStealer также нацелен на более чем 50 криптовалютных кошельков.
Вредоносная программа проверяет, похожа ли машина на реальное пользовательское устройство, прежде чем разблокировать ее вредоносную полезную нагрузку, просматривая доступную память, количество ядер процессора, имя хоста, имя пользователя и графическое оборудование. Он также отслеживает задержки отладки, типичные для среды анализа вредоносных программ.
Если RevStealer обнаруживает что-то необычное, он не переходит к следующим стадиям заражения и вредоносной активности. Если система проходит эти проверки, полезная нагрузка расшифровывается, сохраняется под случайным именем и тайно выполняется.
Отчет последовал за обнаружением российской компанией по кибербезопасности Касперского новой вредоносной среды, нацеленной на инвесторов в криптовалюту, под названием OkoBot, которая может собирать файлы криптовалютных кошельков, данные браузера и учетные данные пользователей, внедрять вредоносные расширения и захватывать окна приложений кошелька для кражи активов.
