Sebuah aplikasi desktop Claude palsu telah menyebarkan malware RevStealer yang dirancang untuk mencuri data dari lebih dari 50 dompet kripto, manajer kata sandi, dan peramban web pada komputer Windows.
Perusahaan keamanan siber Morphisec menyatakan dalam laporannya pada 31 Agustus bahwa RevStealer disebarkan melalui aplikasi Electron yang telah di-trojanisasi, yang disajikan sebagai “Claude Opus 5 Free Desktop.” Aplikasi ini menggunakan merek Anthropic dan menawarkan akses gratis ke model kecerdasan buatan berbayar mereka.
Sebelum muncul dengan nama Claude, malware ini didistribusikan melalui repositori GitHub dan situs web yang mengiklankan cheat video game, menurut Morphisec Threat Labs. Para peneliti mengidentifikasi proyek GitHub bertema Claude sebagai contoh yang paling menonjol karena menggunakan minat pada alat AI berbayar untuk mendorong orang menginstal perangkat lunak yang tidak terverifikasi.
Unduhan tiba sebagai arsip berukuran sekitar 101 megabyte yang berisi aplikasi Electron 64-bit. Meskipun korban mengharapkan antarmuka Claude yang berfungsi, Morphisec menemukan bahwa program tersebut tidak membuka jendela yang terlihat dan malah mempersiapkan muatan (payload) asli terenkripsi di latar belakang.
Loader RevStealer menyimpan muatan tersebut sebagai sumber daya yang dienkripsi AES-256-CBC di dalam aplikasi. Setelah melewati pemeriksaan awalnya, ia mendekripsi file tersebut, menulisnya dengan nama acak di direktori Windows AppData, dan meluncurkan malware tanpa menampilkan jendela.
Pada saat yang sama, loader mencoba menambahkan folder AppData pengguna ke daftar pengecualian Microsoft Defender. Morphisec mengatakan proses ini dirancang untuk membatasi bukti yang tertinggal di perangkat sambil memungkinkan malware mengumpulkan dan mengirimkan informasi dengan cepat.
Alih-alih segera merilis muatan utamanya, RevStealer terlebih dahulu memeriksa komputer untuk mencari tanda-tanda bahwa peneliti keamanan sedang mengawasinya. Loader membutuhkan setidaknya 2 gigabyte memori fisik, dua inti prosesor logis, dan adaptor grafis yang dikenali, menurut Morphisec.
Pemeriksaan hostname dan username membandingkan perangkat dengan daftar blokir yang terkait dengan sistem penelitian. Tes waktu terpisah mengukur penundaan di sekitar instruksi debugger JavaScript, menghapus tabel string yang dikodekan malware ketika eksekusi berhenti selama lebih dari sekitar 100 milidetik.
Tahap asli melakukan 10 pemeriksaan lain yang menghasilkan skor anti-mesin-virtual berbobot. Ini juga memeriksa pengaturan bahasa komputer dan mati pada sistem yang dikonfigurasi untuk bahasa Rusia, Ukraina, dan beberapa bahasa Asia Tengah.
Analisis otomatis menghadapi hambatan lain melalui jendela CAPTCHA, yang memerlukan interaksi sebelum infeksi dapat berlanjut. Jika perangkat gagal dalam salah satu pemeriksaan awal, loader tidak mendekripsi atau mengekspos muatan, sehingga peneliti memiliki lebih sedikit aktivitas berbahaya untuk diperiksa.
Setelah berjalan, RevStealer menyelesaikan antarmuka pemrograman aplikasi Windows tanpa menggunakan tabel impor standar. Morphisec juga mengidentifikasi 14 pembungkus panggilan sistem tidak langsung yang memungkinkan malware mencapai kernel Windows sambil menghindari fungsi yang diekspor yang umumnya dipantau oleh produk keamanan.
“Setiap tahapnya dirancang dengan asumsi bahwa ada sesuatu yang mengawasi,” tulis peneliti Morphisec, Shmuel Uzan.
Pada perangkat yang diterima, RevStealer mencari database browser, kunci enkripsi, dan penyimpanan ekstensi untuk informasi yang dapat memberikan akses ke akun online. Morphisec mengkonfirmasi bahwa daftar koleksinya mencakup Windows Credential Manager, 12 manajer kata sandi, lebih dari 50 dompet kripto, dan cookie sesi browser.
Malware ini juga mencari konfigurasi VPN, kredensial akses jarak jauh, isi clipboard, data aplikasi perpesanan, dokumen yang dipilih, tangkapan layar, peluncur game, dan profil streaming OBS. Informasi yang dikumpulkan dari setiap sumber ditempatkan dalam catatan terenkripsi dan terketik sebelum dikirim ke server command-and-control operator.
Cookie browser yang dicuri dapat mengekspos akun bahkan ketika pemilik menggunakan otentikasi multi-faktor. Jika sesi yang valid telah melewati proses login, seorang penjahat mungkin dapat menggunakan kembali cookie tersebut alih-alih memberikan kata sandi korban dan faktor otentikasi kedua, menurut peneliti keamanan siber yang dikutip dalam laporan malware sebelumnya.
RevStealer juga dapat memulihkan alamat server alternatif dari smart contract di blockchain Polygon ketika server command-and-control utamanya tidak tersedia. Morphisec mengatakan metode ini memungkinkan operatornya mengubah infrastruktur tanpa membangun kembali dan mendistribusikan ulang malware.
Tidak seperti malware yang membuat tugas terjadwal atau entri startup untuk tetap berada di komputer, RevStealer tidak membangun persistensi. Program ini mengumpulkan informasi yang tersedia, mengirimkannya kepada operatornya, dan menghapus dirinya sendiri.
Morphisec menggambarkan operasi ini sebagai “pencurian singkat satu kali,” memperingatkan bahwa kredensial, cookie, dan materi dompet mungkin sudah hilang pada saat sistem deteksi menghasilkan peringatan untuk ditinjau.
Peniruan Claude ini mengikuti beberapa kampanye di mana penyerang mengemas alat pencuri kredensial sebagai aplikasi yang dikenal, file hiburan, atau pembaruan perangkat lunak.
Pada bulan Agustus, crypto.news melaporkan bahwa unduhan palsu The Odyssey menyebarkan Lumma Stealer melalui file eksekusi Windows yang menyamar sebagai rilis film 1080p, WEBRip, dan Blu-ray. Bitdefender mengatakan malware tersebut dapat mengumpulkan data dompet mata uang kripto, kata sandi yang tersimpan, informasi pembayaran, cookie browser, dan kredensial desktop jarak jauh.
Kampanye terpisah pada bulan Juli menggunakan halaman pertemuan tiruan dan akun Telegram yang disusupi untuk menargetkan pekerja kripto. Menurut laporan tentang pertemuan palsu, operator BlueNoroff yang terkait dengan Korea Utara memindai browser untuk dompet Ethereum dan Solana sebelum menyajikan kepada beberapa korban pembaruan Zoom atau Microsoft Teams palsu.
JUMPSEC menemukan bahwa kampanye pertemuan tersebut mencakup perangkat Windows dan macOS. Di Windows, loader PowerShell-nya menambahkan pengecualian Microsoft Defender, sementara versi macOS mengumpulkan informasi sistem dan kunci master Chrome dari Apple’s Keychain.
Kaspersky mengidentifikasi kerangka kerja malware modular lain pada bulan Juli yang menggunakan layar pemulihan palsu, keylogging, dan pemantauan clipboard terhadap investor mata uang kripto. Perusahaan mengatakan 20 modul OkoBot dapat menangkap frasa pemulihan dompet, kata sandi, dan alamat dompet yang disalin, dengan pengguna yang terpengaruh ditemukan di Brasil, Vietnam, Kanada, Meksiko, dan Turki.
Komponen SeedHunter OkoBot menunjukkan antarmuka pemulihan palsu yang terkait dengan perangkat Ledger dan Trezor kepada korban, menurut Kaspersky. Setiap frasa pemulihan yang dimasukkan ke dalam layar dikirim ke operator malware, sementara modul lain merekam jendela dompet yang terbuka.
Bagi pengguna di Amerika Serikat, laporan RevStealer ini mengikuti tindakan federal terhadap LummaC2, layanan malware lain yang digunakan untuk mengumpulkan kredensial dan informasi dompet mata uang kripto.
Departemen Kehakiman A.S. menyatakan pada Mei 2025 bahwa LummaC2 telah digunakan dalam setidaknya 1,7 juta insiden pencurian informasi. Otoritas federal menyita lima domain internet yang mendukung operasi tersebut, sementara Microsoft mengatakan pihaknya membantu mengganggu sekitar 2.300 domain yang merupakan bagian dari infrastruktur malware.
“Malware seperti LummaC2 disebarkan untuk mencuri informasi sensitif seperti kredensial login pengguna dari jutaan korban guna memfasilitasi berbagai kejahatan, termasuk transfer bank palsu dan pencurian mata uang kripto,” kata Matthew Galeotti, yang saat itu menjabat sebagai kepala Divisi Kriminal Departemen Kehakiman.
Departemen Kehakiman mengatakan malware tersebut dijual melalui forum online dan saluran Telegram, memungkinkan pelanggan untuk membeli akses dan menjalankan kampanye pencurian mereka sendiri. Penyitaan yang diizinkan pengadilan mengalihkan lima domain utama ke halaman yang dikendalikan pemerintah, sementara departemen tersebut mengatakan mitra asing dan domestik membantu gangguan tersebut.
