Фальшива десктопна програма Claude розповсюджувала шкідливе програмне забезпечення RevStealer, призначене для викрадення даних з понад 50 криптовалютних гаманців, менеджерів паролів та веб-браузерів на комп’ютерах з Windows.

Фальшивий додаток Claude приховує корисне навантаження RevStealer

Компанія з кібербезпеки Morphisec у своєму звіті від 31 серпня заявила, що RevStealer поширюється через троянізований Electron-додаток, представлений як "Claude Opus 5 Free Desktop", який використовує брендинг Anthropic та пропонує безкоштовний доступ до її платної моделі штучного інтелекту.

За даними Morphisec Threat Labs, до появи під назвою Claude шкідливе програмне забезпечення розповсюджувалося через репозиторії GitHub та веб-сайти, що рекламували чити для відеоігор. Дослідники ідентифікували проект GitHub, присвячений Claude, як найбільш помітний приклад, оскільки він використовував зацікавленість у платних інструментах ШІ для заохочення людей встановлювати неперевірене програмне забезпечення.

Завантаження надходить у вигляді архіву об'ємом близько 101 мегабайта, що містить 64-бітний Electron-додаток. Хоча жертви очікують працюючий інтерфейс Claude, Morphisec виявив, що програма не відкриває видимого вікна, а натомість готує зашифроване нативне корисне навантаження у фоновому режимі.

Завантажувач RevStealer зберігає корисне навантаження як ресурс, зашифрований AES-256-CBC, всередині програми. Після проходження початкових перевірок, він розшифровує файл, записує його під випадковим іменем у каталог Windows AppData та запускає шкідливе програмне забезпечення, не відображаючи вікна.

Водночас завантажувач намагається додати папку AppData користувача до списку виключень Microsoft Defender. Morphisec заявив, що цей процес розроблений для обмеження доказів, залишених на пристрої, дозволяючи шкідливому ПЗ швидко збирати та передавати інформацію.

RevStealer перевіряє комп’ютер перед запуском

Замість того, щоб негайно випускати своє основне корисне навантаження, RevStealer спочатку перевіряє комп'ютер на наявність ознак того, що за ним спостерігають дослідники безпеки. За даними Morphisec, завантажувач вимагає щонайменше 2 гігабайти фізичної пам'яті, два логічні ядра процесора та розпізнаний графічний адаптер.

Перевірки імені хоста та імені користувача порівнюють пристрій з чорним списком, пов'язаним з дослідницькими системами. Окремий тест часу вимірює затримку навколо інструкції налагоджувача JavaScript, видаляючи закодовану таблицю рядків шкідливого ПЗ, якщо виконання призупиняється більш ніж на 100 мілісекунд.

Нативна стадія проводить ще 10 перевірок, які дають зважений показник протидії віртуальним машинам. Вона також досліджує мовні налаштування комп'ютера і вимикається на системах, налаштованих на російську, українську та деякі центральноазіатські мови.

Автоматизований аналіз стикається з ще однією перешкодою через вікно CAPTCHA, яке вимагає взаємодії, перш ніж зараження зможе продовжитися. Якщо пристрій не проходить одну з початкових перевірок, завантажувач не розшифровує та не виявляє корисне навантаження, залишаючи дослідникам менше шкідливої активності для вивчення.

Після запуску RevStealer розпізнає інтерфейси програмування додатків Windows без використання стандартної таблиці імпорту. Morphisec також ідентифікував 14 непрямих обгорток системних викликів, які дозволяють шкідливому ПЗ досягати ядра Windows, уникаючи експортованих функцій, які зазвичай контролюються продуктами безпеки.

«Кожна його стадія розроблена з припущенням, що хтось спостерігає», – написав дослідник Morphisec Шмуель Узан.

RevStealer націлений на криптогаманці та сесії облікових записів

На прийнятному пристрої RevStealer шукає в базах даних браузерів, ключах шифрування та сховищах розширень інформацію, яка може надати доступ до онлайн-акаунтів. Morphisec підтвердив, що його список збору включає Менеджер облікових даних Windows, 12 менеджерів паролів, понад 50 криптовалютних гаманців та файли cookie сесій браузерів.

Шкідливе програмне забезпечення також шукає конфігурації VPN, облікові дані для віддаленого доступу, вміст буфера обміну, дані додатків для обміну повідомленнями, вибрані документи, скріншоти, запускачі ігор та профілі стрімінгу OBS. Інформація, зібрана з кожного джерела, розміщується в зашифрованому, типізованому записі, перш ніж бути відправленою на сервер управління та контролю оператора.

Викрадені файли cookie браузера можуть розкрити обліковий запис, навіть якщо власник використовує багатофакторну автентифікацію. Якщо дійсна сесія вже пройшла процес входу, злочинець може повторно використати файл cookie замість того, щоб вводити пароль жертви та другий фактор автентифікації, за даними дослідників кібербезпеки, цитованих у попередніх звітах про шкідливе програмне забезпечення.

RevStealer також може отримати альтернативну адресу сервера зі смарт-контракту в блокчейні Polygon, коли його основний сервер управління та контролю стає недоступним. Morphisec заявив, що цей метод дозволяє операторам змінювати інфраструктуру без перебудови та повторного розповсюдження шкідливого програмного забезпечення.

На відміну від шкідливого програмного забезпечення, яке створює заплановані завдання або записи автозапуску, щоб залишатися на комп'ютері, RevStealer не встановлює стійкості. Програма збирає доступну інформацію, надсилає її своїм операторам і видаляє себе.

Morphisec описав операцію як «один короткий сплеск крадіжки», попереджаючи, що облікові дані, файли cookie та матеріали гаманця можуть бути вже втрачені до того часу, як система виявлення видасть сповіщення для перевірки.

Фальшиве програмне забезпечення залишається поширеною принадою для криптовалютного шкідливого ПЗ

Імітація Claude слідує за кількома кампаніями, в яких зловмисники пакували інструменти для викрадення облікових даних як знайомі програми, розважальні файли або оновлення програмного забезпечення.

У серпні crypto.news повідомив, що фейкові завантаження "Одіссеї" поширювали Lumma Stealer через виконувані файли Windows, замасковані під фільми 1080p, WEBRip та Blu-ray. Bitdefender заявив, що шкідливе програмне забезпечення може збирати дані криптовалютних гаманців, збережені паролі, платіжну інформацію, файли cookie браузера та облікові дані для віддаленого робочого столу.

Окрема липнева кампанія використовувала імітовані сторінки зустрічей та скомпрометовані облікові записи Telegram для націлювання на працівників криптоіндустрії. Згідно зі звітами про фейкові зустрічі, оператори BlueNoroff, пов'язані з Північною Кореєю, сканували браузери на наявність гаманців Ethereum та Solana, перш ніж представити деяким жертвам фальшиві оновлення Zoom або Microsoft Teams.

JUMPSEC виявив, що кампанія зустрічей охоплювала пристрої як Windows, так і macOS. На Windows її завантажувач PowerShell додав виключення з Microsoft Defender, тоді як версія macOS збирала системну інформацію та майстер-ключі Chrome з Apple Keychain.

Kaspersky у липні ідентифікував ще один модульний фреймворк шкідливого ПЗ, який використовував фальшиві екрани відновлення, кейлогінг та моніторинг буфера обміну проти інвесторів у криптовалюти. Компанія заявила, що 20 модулів OkoBot можуть захоплювати фрази відновлення гаманців, паролі та скопійовані адреси гаманців, причому постраждалі користувачі були виявлені в Бразилії, В'єтнамі, Канаді, Мексиці та Туреччині.

За даними Kaspersky, компонент SeedHunter OkoBot показував жертвам фальшивий інтерфейс відновлення, пов'язаний з пристроями Ledger та Trezor. Будь-яка фраза відновлення, введена на екрані, надсилалася операторам шкідливого ПЗ, тоді як інший модуль записував відкриті вікна гаманців.

Влада США відстежувала подібні крадіжки інформації

Для користувачів у Сполучених Штатах звіт про RevStealer слідує за федеральними діями проти LummaC2, іншого сервісу шкідливого програмного забезпечення, що використовується для збору облікових даних та інформації про криптовалютні гаманці.

Міністерство юстиції США заявило у травні 2025 року, що LummaC2 було використано у щонайменше 1,7 мільйонах випадків викрадення інформації. Федеральні органи влади конфіскували п'ять інтернет-доменів, що підтримували операцію, тоді як Microsoft заявила, що допомогла припинити роботу близько 2300 доменів, які входили до інфраструктури шкідливого ПЗ.

"Шкідливе програмне забезпечення, таке як LummaC2, розгортається для викрадення конфіденційної інформації, такої як облікові дані користувачів мільйонів жертв, з метою полегшення низки злочинів, включаючи шахрайські банківські перекази та крадіжки криптовалют", – сказав тодішній керівник Кримінального відділу Міністерства юстиції Метью Галеотті.

Міністерство юстиції заявило, що шкідливе програмне забезпечення продавалося через онлайн-форуми та канал Telegram, дозволяючи клієнтам купувати доступ та проводити власні кампанії крадіжок. Санкціоновані судом арешти перенаправили п'ять основних доменів на контрольовані урядом сторінки, тоді як міністерство заявило, що закордонні та внутрішні партнери допомагали в припиненні діяльності.