Berichten zufolge wird eine gefälschte Claude-Desktop-Anwendung zur Verbreitung von RevStealer genutzt, einer Windows-Malware-Variante, die darauf ausgelegt ist, Kryptowährungen, Passwörter und Browserdaten von infizierten Systemen zu stehlen.

Laut einem am Montag veröffentlichten Bericht der Cybersecurity-Firma Morphisec wurde RevStealer zuvor über GitHub-Repositories und Game-Cheat-Webseiten verbreitet, die bedeutendste Kampagne betrifft jedoch ein gefälschtes Projekt namens „Claude Opus 5 Free Desktop“. Dieses Projekt gibt sich als Anthropic aus, dem KI-Entwickler hinter dem Claude-Assistenten, und verspricht Nutzern kostenlosen Zugang zum Chatbot. Der Köder nutzt die hohe Nachfrage nach Desktop-Versionen beliebter KI-Assistenten – ein Muster, das KI-markierte Software zu einem wachsenden Vehikel für Social Engineering gemacht hat, da Opfer Downloads von bekannten KI-Marken eher vertrauen.

Die Forscher von Morphisec stellten fest, dass die Malware darauf ausgelegt ist, auf kompromittierten Systemen kaum Spuren zu hinterlassen. Sie durchsucht Browserdatenbanken, Cookies, Passwortmanager-Einträge, VPN- und Fernzugriffseinstellungen, Messaging-Daten, Screenshots und ausgewählte Dokumente. Darüber hinaus zielt RevStealer auf mehr als 50 Kryptowährungs-Wallets ab. Die Breite dieser Zielliste zeigt, wie sich Infostealer in den letzten Jahren zu einer der aktivsten Malware-Kategorien entwickelt haben, wobei gestohlene Zugangsdaten und Wallet-Daten häufig in großen Mengen gesammelt und von kriminellen Gruppen verkauft oder missbraucht werden.

Bevor die Malware ihre schädliche Nutzlast freigibt, prüft sie, ob der Rechner wie ein echtes Nutzergerät aussieht. Sie untersucht den verfügbaren Speicher, die Anzahl der Prozessorkerne, den Hostnamen, den Benutzernamen und die Grafikhardware. Außerdem überwacht sie die für Malware-Analyseumgebungen typischen Debugging-Verzögerungen. Solche Anti-Analyse-Prüfungen sind eine gängige Technik moderner Malware-Familien, um automatisiertes Sandboxing und die Kontrolle durch Forscher zu erschweren, bevor die Nutzlast ausgeführt wird.

Erkennet RevStealer etwas Ungewöhnliches, fährt es nicht mit den nächsten Stufen der Infektion und der bösartigen Aktivität fort. Besteht das System diese Prüfungen, wird die Nutzload entschlüsselt, unter einem zufälligen Namen gespeichert und verdeckt ausgeführt.

Die Erkenntnisse folgen auf die Entdeckung eines neuen Malware-Frameworks durch das russische Cybersecurity-Unternehmen Kaspersky, das auf Kryptowährungsanleger abzielt und OkoBot genannt wird. Dieses Framework kann Krypto-Wallet-Dateien, Browserdaten und Nutzerzugangsdaten abgreifen, bösartige Erweiterungen einschleusen und Anwendungsfenster von Wallets aufzeichnen, um Vermögenswerte zu stehlen. Die aufeinanderfolgenden Entdeckungen deuten auf eine anhaltende kriminelle Konzentration auf Krypto-Besitzer hin; Nutzer können ihr Risiko verringern, indem sie Software ausschließlich von offiziellen Herstellerseiten herunterladen – nicht von Drittanbieter-Repositories oder Links aus Suchergebnissen.

Verwandt: Microsoft warnt Nutzer vor „Crypto Clipper“-Malware, die über USB-Laufwerke verbreitet wird