Der böswillige Claude Desktop-Clone führt Malware ein, die digitale Geldbörsen ausnutzt.

• Die Cybersecurity-Firma Morphisec hat eine bösartige Kampagne entdeckt, bei der das Malware-Tool RevStealer über eine gefälschte Desktop-Anwendung verbreitet wird – diese Anwendung tut so, als wäre sie von Anthropic’s Claude AI.
• Das Malware-Programm zielt auf mehr als 50 Kryptowährungsportfolios ab und sammelt sensible Browserdaten, Session-Cookies sowie Zugangsdaten von infizierten Systemen.
• RevStealer verwendet fortschrittliche Anti-Detection-Methoden, einschließlich Systemprüfungen bezüglich des Speichers und des Hardwares, um den Sandbox-Analysen zu entgehen.
• Diese Bedrohung zeigt eine zunehmende Tendenz: Populäre KI-Tools werden als Mittel zur Social Engineering verwendet, um Finanzmalware an Krypto-Investoren zu verteilen.
• Die Bundesbehörden und CrowdStrike haben kürzlich das Sality-Botnetz zerstört. Das Botnetz nutzte die Manipulation des Clipboard-Systems, um seit über zwei Jahrzehnten Kryptowährungen zu stehlen.

Das Cybersicherheitsunternehmen Morphisec hat eine komplexe Kampagne zur Verbreitung von Malware entdeckt. Dabei wird eine betrügerische Desktop-Anwendung namens „Claude Opus 5 Free Desktop“ genutzt. Diese bösartige Software täuscht die Nutzer, indem sie sich als die Firma Anthropic ausgibt – der Entwickler des beliebten Claude-AI-Modells. Dadurch werden die Nutzer dazu verleitet, die Malware herunterzuladen und zu installieren. Anthropic bietet keine kostenlose Desktop-Version seiner Claude-Anwendung an – daher ist ein solcher Vorschlag ein klares Anzeichen für bösartige Absichten. Die Kampagne richtet sich speziell an Nutzer, die freie Zugang zu Premium-AI-Modellen suchen. Dabei nutzt die Kampagne den hohen Bedarf an Künstlicheintelligenz- Tools, um Malware zu verbreiten, die Informationen stehlen.

Sobald das Malware-Programm RevStealer auf einem Windows-System installiert ist, führt es eine umfassende Überprüfung des infizierten Geräts durch. Es zielt aktiv auf Browserdatenbanken, Session-Cookies, Passwortspeicherdaten, VPN-Konfigurationen sowie Instant-Messaging-Daten ab. Ein wichtiger Aspekt des Malware ist die Fähigkeit, Daten aus über 50 verschiedenen Arten von Kryptowährungswallets zu entdecken und zu stehlen. Der Diebstahl von Session-Cookies ist besonders gefährlich, da dadurch Angreifer die Zweifelbenutzung umgehen können und Konten übernehmen können, ohne weitere Verifizierungscodes benötigen zu müssen.

Um seine Überlebensfähigkeit zu gewährleisten und so von Sicherheitswerkzeugen erkannt zu werden, ist RevStealer mit fortschrittlichen Anti-Analyse-Funktionen ausgestattet. Bevor das Malware-Programm seine Aufgaben ausführt, führt es eine Reihe von Systemprüfungen durch – dabei werden die verfügbare Speicherkapazität, die Anzahl der Prozessorkerne, der Hostname, der Benutzername sowie die Grafikhardware untersucht. Zudem wird auf Abstimmungsprobleme geachtet, die typisch für Sandbox-Umgebungen sind. Wenn irgendein Parameter verdächtig oder nicht mit dem des echten Benutzergeräts übereinstimmt, stoppt das Malware-Programm seine Aktivitäten. Erst wenn alle Prüfungen erfolgreich sind, kann das Malware-Programm sich entschlüsseln, seinen Dateinamen zufällig ändern und heimlich seine Aufgaben ausführen.

Diese Kampagne folgt ähnlichen Erkenntnissen von Kaspersky bezüglich OkoBot – einem weiteren Malware-Tool, das sich an Krypto-Asset-Investoren richtet. Dabei werden die Wallet-Dateien abgerufen und böswillige Browser-Erweiterungen eingespielt. Die Entstehung dieser Bedrohungen zeigt eine wachsende Tendenz, populäre KI-Tools als Mittel zur Verbreitung finanzieller Malware zu nutzen. Forscher betonen, dass Nutzer die Authentizität der Software überprüfen müssen und keine KI-Anwendungen aus unerlaubten Quellen herunterladen sollten – insbesondere solche, die angeblich kostenlose oder crackte Versionen anbieten.

Wie kann RevStealer die Sicherheitsanalysen umgehen?

Die Anti-Erkennungsmechanismen von RevStealer sind so konzipiert, dass sie echte Benutzergeräte nachahmen und so die Erzeugung von Alarme in kontrollierten Analyseumgebungen verhindern. Das Malware-Programm führt detaillierte Überprüfungen des Systems durch – bezüglich der Speicherressourcen, der Prozessorkernen, des Hostnamens, des Benutzernamens sowie des installierten Grafikhardwares. Dadurch wird sichergestellt, dass das Gerät wie ein echtes Benutzergerät aussieht, anstatt wie eine Sandbox. Zudem überwacht das Malware-Programm die Verzögerungen bei der Fehlerbehebung, die typisch für kontrollierte Analyseumgebungen sind. Falls verdächtige Anzeichen festgestellt werden, stoppt das Malware-Programm die Infektion, um nicht von Sicherheitsforschern entdeckt zu werden.

Wenn das System alle Prüfungen besteht, wird der Malware-Inhalt entschlüsselt und unter einem zufälligen Dateinamen gespeichert. Anschließend wird der Inhalt heimlich ausgeführt – dadurch bleibt die Infektion unentdeckt durch Standard-Sicherheitswerkzeuge. Diese Methode ermöglicht es der Malware, still auf dem infizierten System zu agieren, sensible Daten zu sammeln und Kryptowährungstaschen anzugreifen, ohne dass sofort Alarm gegeben wird. Die Verwendung zufälliger Dateinamen sowie die Entschlüsselung des Malware-Inhalts fügen weitere Komplikationen für Sicherheitsanalytiker hinzu, die versuchen, das Verhalten der Malware zu analysieren.

Welches ist der umfassendere Kontext der Bedrohungen durch Kryptowährungsdiebstahl?

Die Kampagne „RevStealer“ fällt mit den jüngsten Entwicklungen im Bereich des Cyberstieres von Kryptowährungen zusammen. Dazu gehört auch die Zerstörung der Sality-Botnetze durch die Bundesbehörden und CrowdStrike. Die Sality-Botnetze waren seit über zwanzig Jahren aktiv. Sie nutzten ein Tool namens EggJagger, um Kryptowährungen zu stehlen – indem sie die Adressen der Wallets der Benutzer stillschweigend durch eigene Konten ersetzten. Mit dieser Methode konnten die Diebe über einen Zeitraum von acht Jahren mindestens 12,1 Millionen Rubel stehlen – was etwa 150.000 US-Dollar in digitalen Währungen entspricht.

Die Sality-Botnetzwerk arbeitete nach einer dezentralen Peer-to-Peer-Architektur. Dadurch wurden die Beseitigungsmaßnahmen erschwert, da keine zentrale Kommando-Server benötigt wurden. Die Zerstörung des Botnetzwerks wurde von den Forschern von CrowdStrike erreicht, die eine Schwachstelle in diesem Peer-to-Peer-Protokoll entdeckten. Durch die Ersetzung legitimer Peer-Adressen durch Infrastrukturen, die von Unternehmen kontrolliert werden, konnten die Ermittler über 15.000 infizierte Geräte vom kriminellen Netzwerk isolieren. Dies zeigt die anhaltende Bedrohung durch die Verwundbarkeit der Clipboard-Systeme im Kryptowährungsökosystem sowie die Effektivität koordinierter Maßnahmen aus dem öffentlichen und privaten Sektor.

Während Anthropics’ Claude durch das Konzept der „Constitutional AI“ eine robuste Sicherheit auf Modellebene bietet, fehlt es ihm an einer inneren Datenschutzfunktion für die eingegebenen Daten. Die Sicherheit von Unternehmen erfordert externe Maßnahmen zur Vermeidung von Datenverlusten – also DLP-Regeln – auf fünf verschiedenen Ebenen: Browser, Desktop-Anwendungen, MCP-Konnektoren, APIs und Dateiaufnahmen. Dadurch kann verhindert werden, dass sensible Daten entweichen. Der Hauptrisikoquelle sind die fünf Ebenen, durch die Daten in den Kontext von Claude gelangen. Besonders gefährlich sind die MCP-Konnektoren, da sie es Claude ermöglichen, selbstständig Daten aus SaaS-Tools wie Slack oder SharePoint abzurufen – ohne die traditionellen DLP-Maßnahmen nutzen zu müssen.

Die Kombination von AI-basiertem Social Engineering und fortschrittlichen Malware-verteilungstechniken stellt erhebliche Risiken für Investoren in Kryptowährungen dar. Da Cyberkriminelle weiterhin beliebte AI-Tools und Trends ausnutzen, müssen Nutzer wachsam bleiben und die Authentizität der Software überprüfen, bevor sie heruntergeladen werden. Der Diebstahl von Session-Cookies sowie Kryptowährungsportfolios durch Malware wie RevStealer unterstreicht die Notwendigkeit solider Sicherheitsmaßnahmen und einer besseren Wahrnehmung neuer Bedrohungen im Bereich der digitalen Vermögenswerte.

Die jüngste Zerstörung der Sality-Botnetzwerk-Infektion zeigt die anhaltenden Bemühungen von Strafverfolgungsbehörden und Cybersecurity-Firmen, den Diebstahl von Kryptowährungen zu bekämpfen. Doch die Entstehung neuer Malware-Varianten wie RevStealer zeigt, wie dynamisch diese Bedrohungen sind. Investoren und Unternehmen müssen schützende Sicherheitsmaßnahmen ergreifen – darunter Endpunktprotection, Browser-DLP-Technologien sowie eine strenge Überprüfung der Quellen der Software – um das Risiko finanzieller Verluste durch Malware-basierte Angriffe zu verringern.