假Claude桌面端投放RevStealer

網絡安全公司Morphisec發現，攻擊者以“Claude Opus 5 Free Desktop”名義僞裝Anthropic桌面應用，在Windows系統投放信息竊取木馬RevStealer；公開證據顯示這是仿冒分發活動，並無Anthropic系統被入侵的跡象。

該誘餌通過GitHub項目及遊戲外掛主題網站傳播。惡意項目提供約101MB的“ClaudeOpus5-desktop.zip”壓縮包，內含64位Electron程序；運行後不會提供可用的Claude界面，而是在後臺充當加載器，解密並執行隱藏的原生惡意載荷。

RevStealer可收集Chromium及Firefox系瀏覽器數據庫、保存密碼、Cookie、擴展存儲和加密密鑰，並瞄準Windows Credential Manager、11類密碼管理器、6類VPN服務、遠程訪問與FTP軟件、即時通訊應用、遊戲啓動器、OBS配置、剪貼板、截圖以及桌面、文檔、下載目錄和雲盤中的特定文件。

該樣本特別瞄準51種加密貨幣錢包及相關瀏覽器擴展文件，包括錢包數據庫、密鑰材料與加密保險庫文件；部分數據以原始形式外傳，攻擊者可在受害設備外再處理。錢包文件被盜不必然意味着資產立即被轉走，但若助記詞、私鑰、瀏覽器會話或解鎖憑證同時泄露，資產面臨不可逆轉移風險。

RevStealer具備反沙箱與反分析設計。加載器會檢測內存是否至少2GiB、邏輯CPU核心是否至少2個、是否存在特定顯卡適配器，以及用戶名、主機名是否命中包含“sandbox”等14個關鍵詞的攔截名單；未通過檢查時，惡意載荷可能不繼續解密或執行。

樣本還嘗試將AppData目錄加入Microsoft Defender排除項，再在該目錄寫入和運行解密後的載荷；數據以小批量方式持續發送給攻擊者控制的服務器，而非先在磁盤打包大型壓縮文件。研究人員稱，其備用C2地址可從Polygon鏈上智能合約讀取，以降低單一服務器下線對攻擊鏈的影響。

用戶不應從GitHub倉庫、第三方下載站或“免費高級版”“破解版”頁面下載Claude等AI軟件。若已經運行相關文件，應立即斷網，在另一臺可信設備上修改瀏覽器、郵箱、交易所和密碼管理器密碼，撤銷活躍會話；加密資產應轉至由未受感染設備新建錢包控制的新地址，並檢查授權與API密鑰。

市場機制上，攻擊者用“免費前沿模型桌面版”降低受害者警惕，以瀏覽器會話、密碼管理器、錢包和遠程訪問憑據變現；加密資產因轉賬不可逆、跨境且可快速歸集，構成高價值目標。受益方是官方軟件分發渠道、終端安全與硬件錢包供應商；承壓方是依賴瀏覽器熱錢包、在同一設備保存助記詞、複用密碼或從未覈驗倉庫來源的個人及小型團隊。

來源：公開信息