偽のClaudeデスクトップアプリケーションが、感染した端末から暗号資産、パスワード、ブラウザデータを窃取するよう設計されたWindowsマルウェア「RevStealer」の拡散に利用されていると報じられています。

サイバーセキュリティ企業Morphisecが月曜に発表したレポートによると、RevStealerはこれまでGitHubのリポジトリやゲームチートをテーマにしたウェブサイトを通じて配布されてきましたが、中でも最も注目されるキャンペーンは偽の「Claude Opus 5 Free Desktop」プロジェクトです。このプロジェクトは、Claudeアシスタントを開発したAI企業Anthropicになりすまし、チャットボットへの無料アクセスを約束しています。この手口は、人気AIアシスタントのデスクトップ版への強い需要につけ込んだもので、有名AIブランドを装ったダウンロードほど信頼されやすいため、AIブランドを掲げたソフトウェアがソーシャルエンジニアリングの手段として拡大している傾向を示しています。

Morphisecの研究者は、このマルウェアが侵害したシステムに痕跡をほとんど残さないよう設計されていると指摘しました。ブラウザのデータベース、Cookie、パスワードマネージャーの記録、VPNおよびリモートアクセス設定、メッセージングデータ、スクリーンショット、選択された文書を検索します。また、RevStealerは50種類以上の暗号資産ウォレットも標的とします。この標的リストの広さは、インフォスチーラーが近年最も活発なマルウェアカテゴリーの一つとなっていることを反映しており、窃取された認証情報やウォレットデータは大量に収集され、犯罪グループによって売買または悪用されることが多いとされています。

悪意あるペイロードを実行する前に、このマルウェアはホストマシンが実際のユーザー端末であるかどうかを確認します。利用可能なメモリ、プロセッサのコア数、ホスト名、ユーザー名、グラフィックスハードウェアを調べるほか、マルウェア分析環境に特徴的なデバッグの遅延も監視します。こうした分析回避チェックは、最新のマルウェアファミリーに一般的な手法であり、ペイロードが実行される前の自動サンドボックス解析や研究者の調査を妨げるために用いられます。

RevStealerが異常を検出した場合、感染および悪意ある活動の次の段階には進みません。システムがこれらのチェックを通過した場合、ペイロードは復号され、ランダムな名前で保存された後、密かに実行されます。

この発見は、ロシアのサイバーセキュリティ企業Kasperskyが、暗号資産投資家を標的とする新たなマルウェアフレームワーク「OkoBot」を発見したことに続くものです。同フレームワークは、暗号資産ウォレットファイル、ブラウザデータ、ユーザー認証情報の収集、悪意ある拡張機能の注入、資産を窃取するためのウォレットアプリケーションウィンドウのキャプチャが可能です。相次ぐ発見は、暗号資産保有者への犯罪的な標的化が続いていることを示しており、ユーザーはサードパーティのリポジトリや検索結果のリンクからではなく、公式のベンダーサイトからのみソフトウェアをダウンロードすることでリスクを軽減できます。

関連記事：Microsoft、「Crypto Clipper」マルウェアがUSBドライブ経由で拡散すると警告