Une fausse application de bureau Claude serait utilisée pour distribuer RevStealer, une souche de logiciel malveillant Windows conçue pour voler des cryptomonnaies, des mots de passe et des données de navigation sur les machines infectées.

Selon un rapport publié lundi par la société de cybersécurité Morphisec, RevStealer a auparavant été distribué via des dépôts GitHub et des sites web consacrés aux triches de jeux, mais la campagne la plus notable implique un faux projet « Claude Opus 5 Free Desktop ». Ce projet usurpe l'identité d'Anthropic, le développeur d'IA derrière l'assistant Claude, et promet aux utilisateurs un accès gratuit au chatbot. Cette appâtie exploite la forte demande pour des versions de bureau des assistants IA populaires, un schéma qui a fait des logiciels estampillés IA un vecteur croissant d'ingénierie sociale, les victimes étant plus enclines à faire confiance à des téléchargements semblant provenir de marques d'IA connues.

Les chercheurs de Morphisec ont noté que le logiciel malveillant est conçu pour laisser peu de traces sur les systèmes compromis. Il fouille les bases de données des navigateurs, les cookies, les enregistrements des gestionnaires de mots de passe, les paramètres VPN et d'accès à distance, les données de messagerie, les captures d'écran et certains documents. RevStealer cible également plus de 50 portefeuilles de cryptomonnaies. L'ampleur de cette liste de cibles reflète la manière dont les infostealers sont devenus l'une des catégories de logiciels malveillants les plus actives ces dernières années, les identifiants et données de portefeuilles volés étant souvent récoltés en masse puis vendus ou exploités par des groupes criminels.

Avant de déverrouiller sa charge utile malveillante, le logiciel malveillant vérifie si la machine hôte ressemble à un véritable appareil d'utilisateur. Il examine la mémoire disponible, le nombre de cœurs du processeur, le nom d'hôte, le nom d'utilisateur et le matériel graphique. Il surveille également les délais de débogage caractéristiques des environnements d'analyse de logiciels malveillants. De telles vérifications anti-analyse sont une technique courante parmi les familles de logiciels malveillants modernes, utilisée pour contrer l'exécution en bac à sable automatisée et l'examen des chercheurs avant l'exécution de la charge utile.

Si RevStealer détecte quoi que ce soit d'anormal, il ne passe pas aux étapes suivantes d'infection et d'activité malveillante. Si le système réussit ces vérifications, la charge utile est déchiffrée, stockée sous un nom aléatoire et exécutée furtivement.

Ces découvertes font suite à celle, par la société russe de cybersécurité Kaspersky, d'un nouveau framework de logiciel malveillant ciblant les investisseurs en cryptomonnaies, baptisé OkoBot. Ce framework peut s'emparer de fichiers de portefeuilles de cryptomonnaies, de données de navigation et d'identifiants utilisateur, injecter des extensions malveillantes et capturer les fenêtres d'applications de portefeuille afin de voler des actifs. Ces découvertes successives soulignent l'attention criminelle continue portée aux détenteurs de cryptomonnaies, et les utilisateurs peuvent réduire leur exposition en ne téléchargeant des logiciels que depuis les sites officiels des éditeurs plutôt que depuis des dépôts tiers ou des liens de résultats de recherche.

À lire également : Microsoft avertit les utilisateurs du logiciel malveillant « Crypto Clipper » diffusé via des clés USB