Uma falsa aplicação de desktop que se faz passar pelo assistente de IA Claude, da Anthropic, está a ser usada para distribuir malware capaz de roubar credenciais de carteiras de criptomoedas, de acordo com uma investigação da empresa de cibersegurança Morphisec.
O malware, denominado RevStealer, está a ser distribuído através de uma aplicação que se apresenta como "Claude Opus 5 Free Desktop". Visa utilizadores de Windows e já tinha circulado anteriormente através de repositórios do GitHub e de sites que oferecem cheats para videojogos, segundo a Morphisec.
Para os utilizadores europeus, cada vez mais habituados a experimentar ferramentas de IA e carteiras de criptomoedas no mesmo computador, esta campanha ilustra como os atacantes estão a explorar o interesse na IA generativa para alcançar um número de vítimas mais alargado do que os tradicionais isco ligados a jogos.
O que o malware recolhe
Segundo a Morphisec, o RevStealer foi concebido para recolher palavras-passe, cookies e dados do browser, entradas de gestores de palavras-passe, dados de programas VPN, dados de software de acesso remoto, mensagens, capturas de ecrã e documentos selecionados de máquinas infetadas. A empresa afirma que o malware é capaz de visar mais de 50 carteiras de criptomoedas diferentes.
Antes de ser executado, o RevStealer realiza uma série de verificações destinadas a evitar a deteção por investigadores de segurança. Analisa a memória disponível, o número de núcleos do processador, o nome de utilizador e o hardware gráfico da máquina, à procura de sinais de um ambiente de teste ou sandbox. Se detetar essas condições, o ataque é interrompido. Caso contrário, o malware é guardado sob um nome de ficheiro aleatório e é executado sem ser detetado no sistema da vítima.
Uma segunda estrutura maliciosa dirigida a carteiras
Separadamente, investigadores da Kaspersky identificaram outra estrutura maliciosa, denominada OkoBot, também dirigida a detentores de criptomoedas. Segundo a Kaspersky, a OkoBot recolhe ficheiros de carteiras de criptomoedas, dados do browser e outras informações do utilizador. A estrutura é ainda capaz de instalar extensões maliciosas no browser e manipular janelas de aplicações de carteiras, de acordo com as conclusões da empresa.
Nem a Morphisec nem a Kaspersky divulgaram quantos utilizadores foram afetados pelas duas campanhas, e não há confirmação de perdas financeiras associadas a nenhum dos dois malwares.
Estas descobertas juntam-se a um padrão crescente de operadores de malware que reaproveitam a popularidade dos assistentes de IA como isco, a par de outros já estabelecidos, como software pirateado e cheats para jogos, para obter acesso aos dispositivos das vítimas e, em última instância, às suas criptomoedas.
