Fake Claude Opus 5 app delivers malware and wipes its own tracks

English

Fake Claude Opus 5 App Delivers Malware

Morphisec reported that a malicious GitHub repository impersonated Anthropic and claimed to provide free access to Claude Opus 5. The repository distributed RevStealer, a Windows information stealer focused on passwords, cryptocurrency wallet data, and login credentials.

The campaign relied on social engineering. Victims were directed to GitHub repositories that appeared to host legitimate free software, and the same lure pattern also appeared around game-cheat-themed sites.

The GitHub Lure

The repository was named Claude-Opus-5-Free-Desktop. It offered a file called ClaudeOpus5-desktop.zip, listed at about 101 MB, and supported the deception with screenshots and model comparison charts.

When the file ran, no visible application window opened. The program first checked system memory, processor count, hostname, username, and graphics hardware against blocklist conditions. It then attempted to add the user's AppData directory to Microsoft Defender exclusions, decrypted a bundled file, and launched RevStealer in the background.

What RevStealer Does

The native payload used several stealth choices: resolving Windows APIs without a normal import table, keeping configuration encrypted until use, calling the kernel through indirect system calls, streaming stolen data to its server instead of writing one obvious archive, and deleting itself after execution.

Its command-and-control setup included a fallback path. If the primary server was unavailable, the malware could retrieve another address from a smart contract on the Polygon blockchain, allowing infrastructure changes without rebuilding the malware.

The collection list was broad. It targeted browser databases and saved credentials, browser extension storage, Windows Credential Manager entries, files from around a dozen password managers, files from more than fifty cryptocurrency wallet apps, VPN and remote access credentials, messaging app data, game launcher accounts, OBS streaming profiles, clipboard content, screenshots, and selected user documents.

A victim cited in the report said their Microsoft and EA accounts were compromised shortly after running the download.

Low detection screenshot for RevStealer sample — At the time shown in the report, the malicious file was detected by only one of 66 antivirus engines.

How RevStealer Avoids Analysts

Before collecting data, RevStealer ran ten checks designed to spot virtual machines and sandboxes. These checks covered processes and analysis tools, CPU and memory traits, graphics hardware, system identity, uptime, and related signals. Each result contributed to a hidden score, and once the score passed the threshold, the malware waited briefly and exited.

A separate regional check stopped execution on systems set to Russian, Ukrainian, or several Central Asian languages. Under certain conditions, the malware also displayed a fake verification window with a random challenge code; closing the window or entering the wrong response stopped the run.

RevStealer registered a vectored exception handler around its collection routines so one failed collector would not end the whole theft session. For Chrome and Edge environments using newer App-Bound encryption, it launched the browser under debugger control and placed a hardware breakpoint to capture the App-Bound key when it appeared in memory.

After Collection

Once collection ended, the malware could receive a task list from its server. Confirmed actions included downloading and running a file or executing an operator-supplied command line. Some actions could request elevated Windows permissions and trigger a UAC prompt, but the reporting did not describe a UAC bypass.

Morphisec's conclusion emphasized that attackers can keep changing lures, packaging, hashes, and infrastructure. The report argues that prevention should focus on the execution techniques the attack chain depends on. Morphisec also published indicators of compromise with its full report.

Português

App Falsa Claude Opus 5 Entrega Malware

A Morphisec relatou que um repositório malicioso no GitHub se passava pela Anthropic e dizia oferecer acesso gratuito ao Claude Opus 5. O repositório distribuía o RevStealer, um ladrão de informações para Windows voltado a senhas, dados de carteiras de criptomoedas e credenciais de login.

A campanha dependia de engenharia social. As vítimas eram levadas a repositórios do GitHub que pareciam hospedar software gratuito legítimo, e o mesmo padrão de isca também apareceu em sites com tema de cheats para jogos.

A Isca No GitHub

O repositório se chamava Claude-Opus-5-Free-Desktop. Ele oferecia um arquivo chamado ClaudeOpus5-desktop.zip, listado com cerca de 101 MB, e reforçava o engano com capturas de tela e gráficos de comparação de modelos.

Quando o arquivo era executado, nenhuma janela visível de aplicação aparecia. O programa primeiro verificava memória do sistema, número de processadores, hostname, nome de usuário e hardware gráfico contra condições de bloqueio. Em seguida, tentava adicionar a pasta AppData do usuário às exclusões do Microsoft Defender, descriptografava um arquivo empacotado e iniciava o RevStealer em segundo plano.

O Que O RevStealer Faz

A carga nativa usava várias escolhas de sigilo: resolvia APIs do Windows sem uma tabela normal de importação, mantinha a configuração cifrada até o momento de uso, chamava o kernel por meio de chamadas indiretas ao sistema, transmitia dados roubados ao servidor em vez de gravar um arquivo evidente no disco e se apagava após a execução.

Sua estrutura de comando e controle incluía um caminho alternativo. Se o servidor principal estivesse indisponível, o malware podia buscar outro endereço em um contrato inteligente na blockchain Polygon, permitindo mudanças de infraestrutura sem reconstruir o malware.

A lista de coleta era ampla. Ele mirava bancos de dados do navegador e credenciais salvas, armazenamento de extensões, entradas do Windows Credential Manager, arquivos de cerca de uma dúzia de gerenciadores de senhas, arquivos de mais de cinquenta aplicativos de carteiras de criptomoedas, credenciais de VPN e acesso remoto, dados de apps de mensagens, contas de launchers de jogos, perfis do OBS, conteúdo da área de transferência, capturas de tela e documentos selecionados do usuário.

Uma vítima citada no relatório disse que suas contas da Microsoft e da EA foram comprometidas pouco depois de executar o download.

Como O RevStealer Evita Analistas

Antes de coletar dados, o RevStealer executava dez verificações criadas para identificar máquinas virtuais e sandboxes. Essas verificações cobriam processos e ferramentas de análise, características de CPU e memória, hardware gráfico, identidade do sistema, tempo de atividade e sinais relacionados. Cada resultado contribuía para uma pontuação oculta e, quando o limite era atingido, o malware esperava brevemente e encerrava.

Uma verificação regional separada também encerrava o processo em sistemas configurados em russo, ucraniano ou vários idiomas da Ásia Central. Em certas condições, o malware também abria uma janela falsa de verificação com um código aleatório; fechar a janela ou inserir a resposta errada interrompia a execução.

O RevStealer registrava um manipulador de exceções vetorizado em torno de suas rotinas de coleta, para que uma falha em um coletor não encerrasse toda a sessão de roubo. Em navegadores Chrome e Edge com a criptografia App-Bound mais recente, ele iniciava o navegador sob controle de depurador e definia um breakpoint de hardware para capturar a chave App-Bound quando ela aparecesse na memória.

Depois Da Coleta

Quando a coleta terminava, o malware podia receber uma lista de tarefas de seu servidor. Ações confirmadas incluíam baixar e executar um arquivo ou rodar uma linha de comando fornecida pelo operador. Em alguns casos, havia solicitação de permissões elevadas do Windows que poderia acionar um prompt de UAC, mas o relatório não descreveu bypass de UAC.

A conclusão da Morphisec destacou que atacantes continuarão mudando iscas, empacotamento, hashes e infraestrutura. O relatório defende que a prevenção deve mirar as técnicas de execução das quais a cadeia de ataque depende. A Morphisec também publicou indicadores de comprometimento junto com o relatório completo.

Fake Claude Opus 5 app delivers malware and wipes its own tracks

App falsa Claude Opus 5 entrega malware e apaga seus próprios rastros