Um aplicativo falso para desktop do Claude está sendo usado para distribuir o RevStealer, uma variedade de malware para Windows projetada para roubar criptomoedas, senhas e dados do navegador. De acordo com a Cointelegraph, a empresa de cibersegurança Morphisec afirmou em um relatório de segunda-feira que o RevStealer era anteriormente disseminado por repositórios do GitHub e sites com temática de cheats de jogos, mas a campanha mais notável envolveu um projeto falso "Claude Opus 5 Free Desktop" que se passa pelo desenvolvedor de IA Anthropic e promete acesso gratuito ao Claude. Os pesquisadores disseram que o malware foi construído para deixar poucos vestígios e faz buscas em bancos de dados do navegador, cookies, registros de gerenciadores de senhas, configurações de VPN e de acesso remoto, dados de mensagens, capturas de tela e documentos selecionados. Ele também ataca mais de 50 carteiras de criptomoedas, tornando-se uma ameaça ampla para usuários que armazenam ativos digitais em dispositivos afetados.

Afirmou que a RevStealer primeiro verifica se uma máquina parece ser um dispositivo de usuário real antes de desbloquear sua carga útil maliciosa. O malware examina a memória disponível, o número de núcleos do processador, o nome do host, o nome de usuário e o hardware gráfico, além de monitorar atrasos de depuração comumente associados a ambientes de análise de malware. Se detectar algo incomum, não prossegue para etapas posteriores da infecção ou atividade maliciosa. Se o sistema passar essas verificações, a carga útil é descriptografada, salva com um nome aleatório e executada de forma discreta. O relatório disse que esse comportamento tem a intenção de ajudar o malware a evitar detecção e reduzir as chances de que ferramentas de segurança ou analistas o identifiquem antes de começar a roubar dados do sistema comprometido.

O relatório vem após a empresa russa de cibersegurança Kaspersky divulgar uma estrutura de malware separada que mira investidores de criptomoedas chamada OkoBot. A Kaspersky disse que o OkoBot pode coletar arquivos de carteiras de cripto, dados do navegador e credenciais de usuário, injetar extensões maliciosas e capturar as janelas do aplicativo de carteira para roubar ativos. Os achados destacam a continuidade da atividade do malware voltada a usuários de cripto, com invasores usando diferentes métodos de entrega e técnicas de infecção para coletar informações sensíveis de navegadores, carteiras e aplicativos relacionados. Ambos os relatórios apontam para esforços contínuos de agentes de ameaça para disfarçar softwares maliciosos como ferramentas ou serviços legítimos, a fim de alcançar usuários que talvez estejam procurando downloads de software ligados a produtos de cripto ou relacionados a IA.