Anthropicになりすまし「Claude Opus 5」への無料アクセスを提供すると謳う悪質なGitHubリポジトリが、Windows向け情報窃取マルウェア「RevStealer」を配布していることが、Morphisecの調査で明らかになりました。このマルウェアはパスワードや暗号資産ウォレットのデータ、ログイン認証情報などを標的としています。
Claude Opus 5のブランディングと「無料」という誘い文句を使ったリポジトリのREADME（出典: Morphisec）
研究者らは「RevStealerは、静かに動作するよう作り込まれたWindows向け情報窃取ツールです」と説明しています。この攻撃キャンペーンはソーシャルエンジニアリングを利用しており、被害者は正規の無料ソフトウェアに見せかけたGitHubリポジトリや、ゲームのチート(改造)をテーマにしたサイトへと誘導されます。
「Claude-Opus-5-Free-Desktop」という名前のこのリポジトリでは、約101MBとされる「ClaudeOpus5-desktop.zip」というダウンロードファイルが、スクリーンショットやモデル比較表とともに提供されています。
このファイルを実行してもウィンドウは一切開きません。プログラムはまず、コンピューターのメモリ容量、プロセッサ数、ホスト名、ユーザー名をブロックリストと照合し、あわせてグラフィックハードウェアも確認します。その後、ユーザーのAppDataフォルダをWindows Defenderの除外リストに追加しようと試み、内蔵ファイルを復号したうえで、バックグラウンドでRevStealerを起動します。
「起動後、ネイティブのRevStealerペイロードはその名の通りの動きを見せます。通常のインポートテーブルを使わずにWindows APIを解決し、設定情報は使用する瞬間まで暗号化したまま保持し、ユーザーモードのフックをすり抜けるためにカーネルを間接システムコールで呼び出し、盗み出したデータをディスク上に1つのアーカイブとして残すのではなくサーバーへ直接ストリーミング送信し、最後には自らを削除します」とMorphisecは記しています。
「そのコマンド&コントロール(C2)チャネルさえも、痕跡を残さないよう設計されています。主要サーバーがダウンしている場合、RevStealerはPolygonブロックチェーン上のスマートコントラクトから代替アドレスを読み込むため、運用者はマルウェア自体を作り直すことなくインフラを切り替えられます」と同社は付け加えています。
このマルウェアは、ブラウザのデータベースや保存済み認証情報、拡張機能のストレージ、Windows資格情報マネージャーのエントリ、12種類のパスワードマネージャーのファイル、50種類以上の暗号資産ウォレットアプリケーションのファイル、VPNおよびリモートアクセスの認証情報、メッセージングアプリのデータ、ゲームランチャーのアカウント、OBSの配信プロファイル、クリップボードの内容、スクリーンショット、選別されたユーザー文書などを標的としています。
レポートで引用されているフォーラムの投稿では、ある被害者がこの感染について証言しており、ダウンロードファイルを実行した直後にMicrosoftとEAのアカウントが侵害されたと述べています。
RevStealerが解析を回避する仕組み
レポート内のスクリーンショットによると、このマルウェアファイルが確認された時点で、検査対象となった66種類のアンチウイルスエンジンのうち検知できたのはわずか1つだけでした。
データ収集を開始する前に、ネイティブのRevStealerペイロードは仮想マシンやサンドボックスを検知するための10種類の個別チェックを実行します。対象には、実行中のプロセスや解析ツール、CPUとメモリの特性、グラフィックハードウェア、システムの識別情報や稼働時間など、さまざまな兆候が含まれます。各チェックの結果は非公開のスコアに加算され、スコアが一定の水準に達すると、マルウェアは数秒待機したのち自ら終了します。
また、このスコアリング機構とは別に、システムの言語設定がロシア語、ウクライナ語、または中央アジアの一部言語になっている場合は、地域チェックによってプロセスがただちに終了します。
特定の条件下では、このマルウェアはランダムな確認コードを表示する偽の検証ウィンドウを開くこともあります。誤った回答を入力した場合、あるいはウィンドウを閉じた場合は、実行が停止します。
RevStealerはデータ収集ルーチンの周囲にベクター例外ハンドラーを登録しているため、いずれかの収集処理でエラーが発生しても、窃取セッション全体が終了することはありません。
新しいApp-Bound暗号化を採用しているChromeやEdgeブラウザに対しては、デバッガー制御下でブラウザを起動し、App-Boundキーがメモリ上に現れた瞬間をハードウェアブレークポイントで捕捉します。
データ収集が完了すると、このマルウェアはサーバーからタスクリストを受け取ることができます。確認されている動作としては、ファイルのダウンロードと実行、あるいは攻撃者が指定したコマンドラインの実行があり、場合によってはWindowsの権限昇格を要求してUAC(ユーザーアカウント制御)プロンプトを表示させることもありますが、UAC自体を回避するものではありません。
「攻撃者は、既知の指標を追跡するツールをすり抜けるため、おとりの手口やパッケージング、ハッシュ値、インフラを変え続けます。今日はAIベンダーになりすましたGitHubリポジトリでも、明日には別のおとりに変わるでしょう。防御のアプローチはこれとは異なります。攻撃チェーンが依存する実行手法そのものを標的にすることで、亜種が変化しても効果を保ち続けられるのです」と、Morphisecのセキュリティ研究者であるShmuel Uzan氏は述べています。
「静けさを前提に作られた脅威に対しては、検知を速めることが目的ではありません。実行環境そのものを信頼できないものにすることで、窃取行為が完遂しないようにすることが目的なのです」とUzan氏は締めくくりました。
Morphisecはレポートとあわせて侵害指標(IoC)を公開しています。
翻訳元: https://www.helpnetsecurity.com/2026/09/01/revstealer-malware-claude-opus-5-github/
