偽Claudeアプリで暗号資産を盗むマルウェア「RevStealer」拡散 パスワードやウォレットも標的に

アンソロピック（Anthropic）の生成AI「Claude（クロード）」を装った偽のデスクトップアプリが、暗号資産やパスワードなどを盗み出すマルウェアの拡散に利用されていることがわかった。

サイバーセキュリティ企業モーフィセック（Morphisec）が月曜日に公表した報告書によると、「RevStealer」と呼ばれるWindows向けマルウェアが確認された。

RevStealerはこれまで、GitHub上のリポジトリやゲームのチートツールを装ったウェブサイトなどを通じて配布されてきた。

なかでも特に目を引くのが、「Claude Opus 5 Free Desktop」と名付けられた偽プロジェクトだ。AI開発企業アンソロピックを装い、本来は有料のClaudeを無料で利用できるかのようにうたってユーザーを誘い込んでいた。

RevStealerの厄介な点は、盗み出す情報の多さだけではない。感染後にできるだけ痕跡を残さないよう、周到に設計されている。

モーフィセックの研究者によると、RevStealerはブラウザ内のデータベースやCookie、パスワード管理ソフトに保存された情報を探索するほか、VPNやリモートアクセスの設定、メッセージアプリのデータ、スクリーンショット、特定の文書ファイルなども収集する。

さらに、50種類以上の暗号資産ウォレットも標的としている。

RevStealerには、感染したパソコンが「本物の一般ユーザーの端末」なのか、それともマルウェアを調査するための解析環境なのかを見分ける仕組みも組み込まれている。

具体的には、利用可能なメモリ容量やCPUのコア数、ホスト名、ユーザー名、グラフィックス関連のハードウェアなどを確認する。

加えて、マルウェア解析時に使われるデバッガー特有の処理遅延が発生していないかも監視するという。

RevStealerが端末に何らかの不自然な点を見つけた場合、その先の感染処理や悪意ある動作には進まない。

一方、こうしたチェックをすべて通過した端末では、暗号化されていた悪意あるプログラムが復号され、ランダムな名前を付けて保存された後、ユーザーに気付かれないよう密かに実行される。

暗号資産投資家を狙うマルウェアをめぐっては、ロシアのサイバーセキュリティ企業カスペルスキーも最近、新たなマルウェア・フレームワーク「OkoBot」を発見している。

Cointelegraphが報じたOkoBotは、暗号資産ウォレットのファイルやブラウザデータ、ユーザーの認証情報を収集できるほか、悪意あるブラウザ拡張機能を注入することも可能だ。

さらに、暗号資産ウォレットアプリの画面を直接キャプチャーすることで、ユーザーの資産を盗み出す機能も備えているとされる。