Un'applicazione desktop falsa di Claude viene secondo quanto riferito utilizzata per distribuire RevStealer, una famiglia di malware per Windows progettata per rubare criptovalute, password e dati del browser dai dispositivi infetti.

Secondo un rapporto di lunedì della società di cybersecurity Morphisec, RevStealer è stato in precedenza distribuito tramite repository GitHub e siti web a tema cheat per videogiochi, ma la campagna più rilevante riguarda un falso progetto "Claude Opus 5 Free Desktop". Il progetto impersona Anthropic, l'azienda di intelligenza artificiale dietro l'assistente Claude, e promette agli utenti accesso gratuito al chatbot. Il pretesto sfrutta la forte domanda di versioni desktop dei popolari assistenti AI, un modello che ha reso il software a marchio AI un veicolo sempre più usato per l'ingegneria sociale, poiché le vittime sono più propense a fidarsi di download che sembrano provenire da marchi AI noti.

I ricercatori di Morphisec hanno osservato che il malware è costruito per lasciare poche tracce sui sistemi compromessi. Cerca database del browser, cookie, record dei password manager, impostazioni VPN e di accesso remoto, dati di messaggistica, screenshot e documenti selezionati. RevStealer prende di mira anche più di 50 wallet di criptovalute. L'ampiezza dell'elenco dei bersagli riflette come gli infostealer siano diventati una delle categorie di malware più attive negli ultimi anni, con credenziali e dati dei wallet rubati spesso raccolti in massa e venduti o sfruttati da gruppi criminali.

Prima di sbloccare il proprio payload malevolo, il malware verifica se la macchina host sembri un vero dispositivo di un utente. Esamina la memoria disponibile, il numero di core del processore, l'hostname, il nome utente e l'hardware grafico. Monitora inoltre i ritardi di debug tipici degli ambienti di analisi malware. Questi controlli anti-analisi sono una tecnica comune tra le famiglie di malware moderne, usata per ostacolare il sandboxing automatizzato e l'esame dei ricercatori prima dell'esecuzione del payload.

Se RevStealer rileva qualsiasi anomalia, non procede alle fasi successive dell'infezione e dell'attività malevola. Se il sistema supera questi controlli, il payload viene decrittato, salvato con un nome casuale ed eseguito in modo furtivo.

Le scoperte seguono l'individuazione da parte della società russa di cybersecurity Kaspersky di un nuovo framework malware rivolto agli investitori in criptovalute, chiamato OkoBot. Quel framework può raccogliere file di wallet crypto, dati del browser e credenziali degli utenti, iniettare estensioni malevole e catturare le finestre delle applicazioni wallet per rubare asset. Le due scoperte consecutive indicano una persistente attenzione criminale verso i possessori di criptovalute, e gli utenti possono ridurre l'esposizione scaricando software solo dai siti ufficiali dei fornitori invece che da repository di terze parti o link provenienti dai risultati di ricerca.

Correlato: Microsoft avverte gli utenti del malware 'Crypto Clipper' diffuso tramite unità USB