Поддельное приложение Claude распространяет вредоносную программу RevStealer

Поддельное настольное приложение Claude используется для распространения RevStealer — разновидности вредоносной программы для Windows. RevStealer нацелена более чем на 50 криптовалютных кошельков. Вредоносная программа ищет пароли и файлы cookie браузеров. Она также ищет записи менеджеров паролей, настройки VPN и параметры удаленного доступа. RevStealer собирает данные мессенджеров, снимки экрана и отдельные документы. Morphisec сообщила в понедельничном отчете, что ранее вредоносная программа распространялась через репозитории GitHub и сайты, посвященные игровым читам. Поддельный проект называется "Claude Opus 5 Free Desktop". Проект выдает себя за разработчика ИИ Anthropic и обещает бесплатный доступ к Claude. RevStealer проверяет доступную память, прежде чем разблокировать свою полезную нагрузку. Она проверяет число ядер процессора, имя хоста, имя пользователя и графическое оборудование. Кроме того, программа отслеживает задержки отладки, характерные для сред анализа вредоносных программ. Если RevStealer обнаруживает необычные условия, она не переходит к последующим этапам заражения. Если система проходит проверки, вредоносная программа расшифровывает свою полезную нагрузку. Она сохраняет полезную нагрузку под случайным именем и скрытно запускает ее. Kaspersky также обнаружила OkoBot — фреймворк вредоносных программ, нацеленный на инвесторов в криптовалюты. OkoBot может собирать файлы криптовалютных кошельков, данные браузеров и учетные данные пользователей. Он может внедрять вредоносные расширения. Кроме того, он может захватывать окна приложений-кошельков, чтобы красть активы.