Campalha de engenharia social focada em IA
Atacantes estão distribuindo o malware RevStealer através de um aplicativo desktop falso que se passa pelo Claude Opus 5, uma ferramenta de inteligência artificial popular. A campanha aproveita a alta demanda por ferramentas de IA avançadas, oferecendo versões gratuitas que, na verdade, são armadilhas projetadas para infectar dispositivos Windows.
O arquivo de instalação tem cerca de 101 MB e contém um programa Electron trojanizado. Ao contrário de aplicativos legítimos, este software não oferece interface funcional visível. Em vez disso, ele verifica se o ambiente parece ser de um usuário real antes de liberar seu payload malicioso, evitando detecções automatizadas simples.
Mecanismos de evasão e coleta de dados
O loader do malware realiza verificações sofisticadas de anti-análise, incluindo verificação de memória, núcleos de processador, nome de host e hardware gráfico. Se detectar um ambiente de sandbox ou análise automatizada, ele retarda a execução do payload secundário.
Uma vez ativado, o RevStealer busca bancos de dados de navegadores, cookies, gerenciadores de senhas, configurações de VPN, mensagens, capturas de tela e documentos selecionados. Seu foco específico em mais de 50 carteiras de criptomoedas significa que os ativos financeiros podem ser drenados irreversivelmente.
Resiliência da infraestrutura de comando e controle
Um aspecto notável desta variante é a capacidade de obter endereços de servidores de comando e controle alternativos através de contratos inteligentes na blockchain Polygon. Isso torna difícil interromper a operação do malware apenas derrubando servidores tradicionais, pois a infraestrutura é descentralizada e resistente a bloqueios convencionais.
O malware também tenta adicionar o diretório AppData do usuário às exclusões do Microsoft Defender, dificultando a detecção por soluções de antivírus padrão. Ele não depende de tarefas agendadas ou chaves de registro para persistência, executando-se rapidamente e se autodeletando após a coleta.
Prevenção e resposta a incidentes
Usuários devem evitar baixar versões "gratuitas" de produtos pagos de IA, especialmente através de repositórios não verificados ou comunidades de jogos. A verificação da origem do software e a inspeção de assinaturas digitais são essenciais.
Equipes de segurança devem bloquear a execução de arquivos em locais de escrita de usuário, monitorar tentativas de alteração de exclusões de antivírus e exigir autenticação forte. Em caso de suspeita, sessões expostas devem ser revogadas, senhas resetadas e fundos de criptomoeda movidos imediatamente.
Análise técnica resumida
O uso de Electron para criar aplicativos desktop facilita a distribuição de código malicioso, pois muitos desenvolvedores legítimos utilizam essa tecnologia. A distinção entre comportamento legítimo e malicioso requer monitoramento comportamental avançado, focando em chamadas de API ocultas e acesso incomum a pastas de dados sensíveis.