Eine gefälschte Claude-Desktopanwendung wird genutzt, um RevStealer zu verteilen, einen Windows-Schädling, der entwickelt wurde, um Krypto-, Passwort- und Browserdaten zu stehlen. Laut Cointelegraph sagte das Cybersicherheitsunternehmen Morphisec in einem Bericht vom Montag, dass RevStealer zuvor über GitHub-Repositorys und seiten mit Spielbetrug-Thematik verbreitet wurde, die bemerkenswerteste Kampagne jedoch ein gefälschtes Projekt „Claude Opus 5 Free Desktop“ war, das den KI-Entwickler Anthropic vortäuscht und kostenlosen Zugriff auf Claude verspricht. Die Forschenden erklärten, die Malware sei so gebaut, dass sie nur wenige Spuren hinterlässt, und durchsucht Browserdatenbanken, Cookies, Datensätze von Passwort-Managern, VPN- und Remote-Access-Einstellungen, Messaging-Daten, Screenshots sowie ausgewählte Dokumente. Sie zielt außerdem auf über 50 Kryptowährungs-Wallets ab, wodurch sie eine breite Bedrohung für Nutzer darstellt, die digitale Assets auf betroffenen Geräten speichern.

Morphisec sagte, dass RevStealer zunächst prüft, ob ein System wie ein echtes Benutzergerät wirkt, bevor es seine bösartige Nutzlast freischaltet. Die Malware untersucht den verfügbaren Speicher, die Anzahl der Prozessorkerne, den Hostnamen, den Benutzernamen und die Grafikhardware und überwacht dabei außerdem die für Malware-Analyseumgebungen typischen Debugging-Verzögerungen. Wenn es dabei etwas Ungewöhnliches feststellt, geht es nicht in spätere Phasen der Infektion oder bösartigen Aktivität über. Wenn das System diese Prüfungen besteht, wird die Nutzlast entschlüsselt, unter einem zufälligen Namen gespeichert und heimlich ausgeführt. Der Bericht besagt, dass dieses Verhalten darauf abzielt, die Erkennung durch Sicherheitsmaßnahmen zu erschweren und die Wahrscheinlichkeit zu verringern, dass Sicherheitstools oder Analysten sie identifizieren können, bevor sie damit beginnt, Daten vom kompromittierten System zu stehlen.

Der Bericht folgt auf die Offenlegung eines separaten Malware-Frameworks durch das russische Cybersicherheitsunternehmen Kaspersky. Dieses richtet sich an Kryptowährungsinvestoren und heißt OkoBot. Kaspersky erklärte, dass OkoBot Kryptowährungs-Wallet-Dateien, Browserdaten und Benutzerdaten auslesen kann, bösartige Erweiterungen injiziert und Fenster der Wallet-Anwendungen erfasst, um Vermögenswerte zu stehlen. Die Ergebnisse verdeutlichen eine anhaltende Malware-Aktivität mit Ziel auf Krypto-Nutzer: Angreifer nutzen dabei verschiedene Zustellmethoden und Infektionstechniken, um sensible Informationen aus Browsern, Wallets und verwandten Anwendungen zu sammeln. Beide Berichte deuten auf fortlaufende Bemühungen von Bedrohungsakteuren hin, bösartige Software als legitime Tools oder Services zu tarnen, um Nutzer zu erreichen, die möglicherweise nach Software-Downloads im Zusammenhang mit Krypto oder Produkten mit Bezug zu KI suchen.