セキュリティ研究者らは、正規のAIアプリケーションを装ったWindows向け情報窃取マルウェアのキャンペーンを発見しました。
「RevStealer」と呼ばれるこのマルウェアは、Anthropic社のClaude AIサービスを模倣したトロイの木馬化されたElectronデスクトップアプリケーションを通じて配布されます。
このキャンペーンでは、GitHubリポジトリでホストされた偽の「Claude Opus 5 Free Desktop」プロジェクトが使われ、ゲームチート関連のテーマを扱うウェブサイトで宣伝されています。この誘導手口は、有料AIモデルへの無料アクセスをうたうことで、AIツールへの関心の高まりを悪用しようとするものです。
実行されると、RevStealerはブラウザ、パスワードマネージャー、暗号資産ウォレット、VPNアプリケーション、その他のソフトウェアから機密情報を収集できます。
攻撃は、64ビットのElectron実行ファイルを含む約101MBのアーカイブから始まります。このアプリケーションは通常のユーザーインターフェースを表示しません。代わりに、セキュリティ分析環境かどうかを識別するための複数のチェックを実行します。
ローダーは、利用可能な物理メモリ、CPUコア数、ホスト名、ユーザー名、グラフィックハードウェアを確認します。また、デバッガーのタイミングチェックも使用します。分析下で実行されていると判断した場合、マルウェアは符号化された文字列情報を破棄して停止することがあります。
これらのチェックを通過すると、ローダーはアプリケーションのリソース内に格納されているAES-256-CBCで暗号化されたネイティブペイロードを復号します。
このペイロードは、ユーザーのAppDataフォルダ配下にランダムな名前で作成されたディレクトリに書き込まれ、ウィンドウを表示することなく起動されます。そして、ステージング用ファイルの削除も試みます。
ネイティブペイロードは、仮想マシン検出や地域フィルタリングを含む追加のアンチ分析チェックを実行します。また、自動実行を妨害するためにCAPTCHAウィンドウも使用します。
RevStealerの情報収集能力は多岐にわたります。研究者らは、ブラウザのデータベースと暗号化キー、ブラウザ拡張機能のストレージ、Windows資格情報マネージャー、複数のパスワードマネージャー、50以上の暗号資産ウォレット、VPNおよびリモートアクセスの認証情報、メッセージングアプリケーション、ゲームランチャー、OBSプロファイルが標的にされていることを確認しています。
このマルウェアはさらに、クリップボードの内容やスクリーンショットも取得し、選択したユーザー文書を収集することもできます。
従来のWindows API呼び出しに大きく依存する代わりに、このネイティブコンポーネントは必要なAPIを動的に解決し、14種類の間接システムコールラッパーを使用します。
この手法は、エクスポートされたWindows関数の周辺に一般的に設置されるユーザーモードの監視フックを回避するために設計されています。
RevStealerは、実行後に残る痕跡も最小限に抑えています。スケジュールタスクやRunキー、スタートアップ項目といった従来型の永続化手段は確立しません。
代わりに、痕跡を消去する前の短時間のセッション中に情報収集と外部送信を行います。もう一つの注目すべき特徴は、そのコマンド&コントロール(C2)のフェイルオーバー機構です。
主要なC2サーバーが利用できなくなった場合、このマルウェアはPolygonブロックチェーン上のスマートコントラクトから代替アドレスを取得できます。これにより、攻撃者はマルウェア自体を作り直すことなくインフラを変更できると、Morphisec社は述べています。
このキャンペーンは、信頼されているブランドや人気の技術を悪用する不正アプリケーションのリスクが高まっていることを浮き彫りにしています。
ユーザーは、特に有料サービスの無料版をうたうような、GitHubリポジトリやサードパーティのウェブサイトからの非公式なAIデスクトップアプリケーションのダウンロードを避けるべきです。
ANY.RUNのブラウザ内データ検査で、より迅速な検知・調査・対応を-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/fake-claude-app-steals-credentials/
