가짜 Claude 앱, RevStealer 악성코포 확산

가짜 Claude 데스크톱 애플리케이션이 윈도우 악성코드 변종인 RevStealer를 유포하는 데 사용되고 있다. RevStealer는 50개가 넘는 암호화폐 지갑을 노린다. 이 악성코드는 브라우저 비밀번호와 쿠키를 검색한다. 또한 비밀번호 관리자 기록, VPN 설정, 원격 접속 설정도 검색한다. RevStealer는 메시징 데이터와 스크린샷, 일부 문서를 수집한다. Morphisec은 월요일 보고서에서 이 악성코드가 이전에는 GitHub 저장소와 게임 치트 관련 웹사이트를 통해 확산됐다고 밝혔다. 가짜 프로젝트의 이름은 "Claude Opus 5 Free Desktop"이다. 이 프로젝트는 AI 개발사 Anthropic을 사칭하며 Claude에 대한 무료 접근을 약속한다. RevStealer는 페이로드를 잠금 해제하기 전에 사용 가능한 메모리를 확인한다. 프로세서 코어 수와 호스트명, 사용자 이름, 그래픽 하드웨어를 확인한다. 또한 악성코드 분석 환경과 관련된 디버깅 지연이 있는지도 감시한다. RevStealer가 비정상적인 조건을 감지하면 이후 감염 단계로 진행하지 않는다. 시스템이 검사를 통과하면 악성코드는 페이로드를 복호화한다. 악성코드는 페이로드를 무작위 이름으로 저장하고 은밀하게 실행한다. Kaspersky는 암호화폐 투자자를 노리는 악성코드 프레임워크 OkoBot도 발견했다. OkoBot은 암호화폐 지갑 파일과 브라우저 데이터, 사용자 자격 증명을 수집할 수 있다. 악성 확장 프로그램을 삽입할 수도 있다. 자산을 탈취하기 위해 지갑 애플리케이션 창을 캡처할 수 있다.