Поддельное приложение Claude Opus 5 распространяет скрытный похититель данных RevStealer

Схема опирается на доверчивость пользователей. Людей направляют на страницы, похожие на официальные сайты бесплатных программ. Помимо GitHub злоумышленники используют игровые площадки с читами. Скачиваемый архив занимает около ста мегабайт и выглядит как обычный дистрибутив. Внутри находится приложение, собранное на платформе Electron - инструменте для создания настольных программ средствами веб-разработки. Эту платформу применяют многие известные продукты, например Discord и Visual Studio Code. Поэтому сам факт её использования о вредоносности не говорит.

По данным Morphisec, запущенное приложение не открывает окно и не показывает интерфейс. Сначала оно проверяет, годится ли компьютер для заражения. Затем пытается добавить пользовательскую папку в список исключений встроенного антивируса Microsoft. После этого извлекает из своих ресурсов зашифрованный второй модуль и запускает его скрытно. Наконец, первый модуль удаляет собственный файл, чтобы не осталось лишних следов.

Второй модуль выполняет основную работу. Он собирает пароли и данные активных сессий из браузеров, ключи шифрования и содержимое менеджеров паролей. В список целей входят данные более пятидесяти криптовалютных кошельков. Кроме того, программа забирает учётные данные VPN и удалённого доступа, переписку в мессенджерах, настройки программ запуска игр и профили приложений для видеотрансляций. Отдельно она копирует содержимое буфера обмена, делает снимок экрана и отбирает документы из рабочих папок и облачных хранилищ. Основная аудитория кампании - частные пользователи, однако украденные рабочие данные затрагивают и организации.

Отличительная черта RevStealer - резервный канал управления. Если основной сервер недоступен, программа получает новый адрес из смарт-контракта в блокчейне Polygon. Смарт-контракт представляет собой программный код, который автоматически отдаёт заданное значение по запросу. Такой механизм позволяет оператору менять инфраструктуру, не пересобирая вредоносную программу. Изъятие одного сервера кампанию не останавливает.

Программа старается не оставлять следов. Она не создаёт задач в планировщике и не прописывается в автозапуске. Украденные данные уходят на сервер потоком, а не единым архивом. После завершения работы исполняемый файл удаляет себя. Обращения к ядру системы идут в обход стандартных точек, где обычно работают средства контроля. Строки и настройки остаются зашифрованными до момента использования. В результате время присутствия программы на компьютере сокращается до короткого эпизода.

Перед сбором данных модуль проверяет окружение. Он оценивает объём памяти, число ядер процессора и модель видеокарты. Отдельно он сверяет список запущенных процессов с подготовленным перечнем отладчиков, сетевых анализаторов и виртуальных сред. Если сумма подозрительных признаков превышает порог, работа прекращается. Программа также отказывается запускаться на системах с русским, украинским, белорусским и рядом других языков интерфейса. Дополнительно она показывает окно с коротким кодом подтверждения. Всё это затрудняет автоматический анализ.

Внутренняя документация выдаёт программу за установщик утилиты для работы с буфером обмена. Такое несоответствие между описанием и поведением заметно при внимательном разборе. На форуме один из пострадавших описал свой случай. Он скачал файл, считая его легитимным. Вредоносная программа работала незаметно из случайно названной папки. Установленное средство защиты поначалу не отреагировало. Позже пользователь обнаружил, что несколько его учётных записей, включая аккаунты Microsoft и EA, были скомпрометированы.

Загрузчик на платформе Electron уже встречался в других кампаниях. В 2025 году исследовательские группы описывали проект Sakura RAT. Там ту же платформу использовали лишь как первый этап доставки. Она отключала защиту, закреплялась в системе и загружала основные модули. Сейчас акцент сместился. RevStealer не стремится задержаться на компьютере и действует быстро.

Сочетание украденных данных и канала для загрузки произвольных команд создаёт дополнительный риск. Зашифрованные хранилища паролей, файлы кошельков и настройки подключений передаются на сервер для дальнейшей обработки. Через тот же канал оператор может доставить любое другое вредоносное ПО. Поэтому за кражей учётных данных нередко следует более серьёзное вторжение, вплоть до шифрования файлов и требования выкупа.

Защита строится на простых правилах. Скачивать программы стоит только с официальных сайтов разработчиков. Перед запуском полезно проверять цифровую подпись и издателя. Двухфакторная аутентификация снижает ущерб от украденных паролей. Кроме того, имеет смысл периодически просматривать список исключений антивируса. Посторонние записи в нём появляются редко, поэтому каждая из них заслуживает проверки.

Программа построена вокруг предположения, что за ней наблюдают. Все её механизмы направлены на то, чтобы забрать данные до появления вердикта средств защиты. К моменту, когда продукт обнаружения формирует заключение, пароли, данные сессий и материалы кошельков уже отправлены на сервер. Поэтому ставка в защите смещается в сторону предотвращения запуска, а не ускорения реакции.