Un clone de l’interface de bureau Claude malveillant déploie du logiciel malveillant permettant de voler les portefeuilles cryptographiques.

• La société de cybersécurité Morphisec a identifié une campagne malveillante qui diffuse le malware RevStealer via une application de bureau frauduleuse qui se fait passer pour l’IA Claude d’Anthropic.
• Le malware cible plus de 50 comptes en cryptomonnaies et collecte des données sensibles du navigateur, des cookies de session et des identifiants des systèmes infectés.
• RevStealer utilise des mécanismes anti-détection sophistiqués, y compris des vérifications du système au niveau de la mémoire et du matériel, afin de éviter les environnements d’analyse en mode sandbox.
• Cette menace met en évidence une tendance croissante à utiliser des outils d’IA populaires comme outils de social engineering pour distribuer du malware financier auprès des investisseurs en cryptomonnaies.
• Les autorités fédérales et CrowdStrike ont également récemment éliminé le botnet Sality, qui utilisait l’hijacking du clavier pour voler des cryptomonnaies pendant plus de deux décennies.

La société de cybersécurité Morphisec a découvert une campagne sophistiquée de distribution de logiciels malveillants. Ces logiciels malveillants utilisent une application de bureau frauduleuse intitulée “Claude Opus 5 Free Desktop”. Ce logiciel malveillant se fait passer pour Anthropic, le développeur du modèle d’IA Claude très populaire. Il trompe les utilisateurs en leur faisant télécharger et installer le logiciel malveillant. Anthropic ne propose pas de version gratuite de son application Claude, ce qui indique clairement une intention malveillante. La campagne cible spécifiquement les utilisateurs qui cherchent à accéder gratuitement aux modèles d’IA de haute qualité. Elle exploite la forte demande pour les outils d’intelligence artificielle afin de distribuer des logiciels malveillants capables de voler des informations.

Une fois installé sur un système Windows, le malware RevStealer effectue une vaste exploration du appareil infecté. Il cible activement les bases de données des navigateurs, les cookies de session, les informations stockées dans les logiciels de gestion des mots de passe, les configurations des VPN et les données de messagerie instantanée. Un élément essentiel de ce malware est sa capacité à identifier et voler des données provenant de plus de 50 types différents de portefeuilles de cryptomonnaies. Le vol des cookies de session est particulièrement dangereux, car cela permet aux attaquants de contourner la authentification à deux facteurs et de prendre contrôle des comptes sans avoir besoin de codes de vérification supplémentaires.

Pour assurer sa survie et éviter d’être détecté par les outils de sécurité, RevStealer est conçu avec des fonctionnalités anti-analyse avancées. Avant d’exécuter son contenu malveillant, le malware effectue une série de vérifications du système : il examine la mémoire disponible, le nombre de cœurs du processeur, le nom d’hôte, le nom d’utilisateur, ainsi que l’équipement graphique. Il surveille également les retards de débogage qui sont typiques des environnements d’analyse en mode sandbox. Si un paramètre semble suspect ou ne correspond pas aux caractéristiques d’un appareil utilisateur réel, le malware arrête son fonctionnement. Ce n’est qu’après que toutes les vérifications soient passées que le contenu malveillant se déchiffre, change son nom de fichier de manière aléatoire, et s’exécute de manière discrète.

Cette campagne s’inscrit dans les résultats similaires obtenus par Kaspersky concernant OkoBot, un autre outil malveillant visant les investisseurs en cryptomonnaies. Ce dernier exploite les fichiers des portefeuilles financiers et injecte des extensions de navigateur malveillantes. L’apparition de ces menaces montre une tendance croissante à utiliser des outils d’IA populaires comme moyen de diffuser du malware financier. Les chercheurs soulignent que les utilisateurs doivent vérifier l’authenticité des logiciels et éviter de télécharger des applications d’IA provenant de sources non officielles, en particulier celles qui prétendent offrir des versions gratuites ou piratées.

Comment RevStealer échappe-t-il aux analyses de sécurité ?

Les mécanismes anti-détection de RevStealer sont conçus pour imiter les appareils utilisateurs réels et éviter que des alertes ne soient déclenchées dans les environnements d’analyse contrôlés. Le malware effectue des vérifications détaillées du système : mémoire, cœurs de processeur, nom d’hôte, nom d’utilisateur et matériel graphique installé. Cela permet au malware de ressembler à un véritable appareil utilisateur, plutôt qu’à un environnement de sandbox. Il surveille également les retards de débogage caractéristiques des environnements d’analyse contrôlés. Si des signes suspects sont détectés, le malware arrête l’infection afin d’éviter d’être repéré par les chercheurs en sécurité.

Lorsque le système passe toutes les vérifications, le contenu malveillant est déchiffré et stocké sous un nom de fichier aléatoire. Ensuite, il est exécuté de manière discrète, afin que l’infection ne soit pas détectée par les outils de sécurité standard. Cette méthode permet au malware d’opérer en silence sur le système infecté, collectant des données sensibles et ciblant les portefeuilles de cryptomonnaies, sans provoquer de détection immédiate. L’utilisation de noms de fichiers aléables et du déchiffrement du contenu malveillant ajoute une couche supplémentaire de complexité pour les analystes de sécurité qui cherchent à analyser le comportement du malware.

Quel est le contexte plus large des menaces liées au vol de cryptomonnaies ?

La campagne RevStealer coïncide avec des événements récents dans le domaine du vol de cryptomonnaies. Par exemple, les autorités fédérales et CrowdStrike ont pu démanteler le botnet Sality, qui fonctionnait depuis plus de vingt ans. Le botnet Sality utilisait un outil de type “clipjacking” appelé EggJagger pour voler des cryptomonnaies : il remplaçait silencieusement les adresses des portefeuilles des utilisateurs par des adresses contrôlées par l’attaquant. Cette technique a permis aux voleurs de voler au moins 12,1 millions de roubles, soit environ 150 000 dollars en cryptomonnaies, sur une période de huit ans.

Le botnet Sality fonctionnait selon une architecture peer-to-peer décentralisée, ce qui compliquait les actions de suppression, car il n’était plus nécessaire d’utiliser un serveur central de commande. Les chercheurs de CrowdStrike ont identifié une vulnérabilité dans ce protocole peer-to-peer. En remplaçant les adresses des participants légitimes par une infrastructure contrôlée par l’entreprise, ils ont pu isoler plus de 15 000 appareils infectés du réseau criminel. Cela montre la menace persistante liée à la possibilité de piratage des cliques dans l’écosystème des cryptomonnaies, ainsi que l’efficacité des interventions coordonnées entre le secteur public et privé.

Alors que Claude d’Anthropic offre une sécurité à l’échelle du modèle grâce à l’IA constitutionnelle, il manque une protection intrinsèque des données saisies. La sécurité des entreprises nécessite des mesures de prévention de la perte de données sur cinq surfaces d’interaction : navigateur, application de bureau, connecteurs MCP, API et upload de fichiers. Les risques principaux se situent dans ces cinq surfaces où les données entrent dans la fenêtre de contexte de Claude. Les connecteurs MCP sont particulièrement dangereux, car ils permettent à Claude de récupérer automatiquement des données depuis des outils SaaS tels que Slack, SharePoint et des bases de données, sans passer par les mécanismes de prévention de perte de données traditionnels.

La convergence de l’ingénierie sociale pilotée par l’IA et des techniques sophistiquées de distribution de logiciels malveillants représente des risques importants pour les investisseurs dans le domaine des cryptomonnaies. Alors que les cybercriminels continuent d’exploiter les outils et tendances liés à l’IA, les utilisateurs doivent rester vigilants et vérifier l’authenticité des logiciels avant de les télécharger. Le vol de cookies de session et de comptes en cryptomonnaies via des logiciels malveillants comme RevStealer souligne la nécessité de mesures de sécurité robustes et une meilleure connaissance des menaces émergentes dans le domaine des actifs numériques.

La détection récente du botnet Sality montre les efforts continus des forces de l’ordre et des entreprises de cybersécurité pour lutter contre le vol de cryptomonnaies. Cependant, l’apparition de nouveaux types de malwares comme RevStealer souligne la nature évolutive de ces menaces. Les investisseurs et les entreprises doivent adopter des stratégies de sécurité multiples, incluant la protection des endpoints, les mesures de prévention des fuites de données via les navigateurs, ainsi que une vérification stricte des sources de logiciels, afin de limiter les risques de pertes financières causés par les attaques liées aux malwares.