サイバーセキュリティ企業のモーフィセックは、アンソロピック（Anthropic）の生成AI「Claude」を装った偽デスクトップアプリなどを通じ、Windows向けマルウェア「RevStealer」が拡散しているとする報告書を公表しました。RevStealerは50種類以上の暗号資産ウォレットやパスワード管理ソフトに保存された情報などを探索し、痕跡を残さず盗み出す設計となっています。端末の解析環境を検知してセキュリティ調査を回避する仕組みも備えており、暗号資産を管理するユーザーを狙う手口の巧妙化が示されています。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
偽のAIアプリなどを利用した手口と標的となるデータ
RevStealerは、GitHub上のリポジトリやゲームのチートツールを装ったウェブサイトなどを通じて配布されています。なかでも「Claude Opus 5 Free Desktop」と名付けられた偽プロジェクトでは、AI開発企業アンソロピックを装い、本来は有料であるClaudeを無料で利用できるかのようにうたってユーザーを誘い込んでいました。
端末に侵入したRevStealerは、感染後に痕跡をできるだけ残さないよう周到に設計されています。ブラウザ内のデータベースやCookie、パスワード管理ソフトに保存された情報を探索するほか、VPNやリモートアクセスの設定、メッセージアプリのデータ、スクリーンショット、特定の文書ファイルなどを収集します。さらに、50種類以上の暗号資産ウォレットも標的として資産情報を収集します。
解析環境を見破る防御回避の仕組みと類似のマルウェア
RevStealerには、感染した端末が一般ユーザーのものか、マルウェア調査用の解析環境かを見分ける仕組みが組み込まれています。具体的には、利用可能なメモリ容量やCPUコア数、ホスト名、ユーザー名、グラフィックス関連ハードウェアを確認し、デバッガー特有の処理遅延が発生していないかも監視します。
端末に不自然な点が見つかった場合はその後の感染処理や悪意ある動作を行いません。一方、すべてのチェックを通過した端末でのみ暗号化されたプログラムを復号し、ランダムな名前で保存したうえでユーザーに気付かれないよう実行されます。
暗号資産投資家を狙うマルウェアとしては、カスペルスキーが発見したフレームワーク「OkoBot」も報告されています。OkoBotはウォレットファイルやブラウザデータの収集、悪意あるブラウザ拡張機能の注入に加え、暗号資産ウォレットアプリの画面を直接キャプチャーして資産を盗み出す機能を備えているとされています。
ポイント
- アンソロピックのAI「Claude」の偽デスクトップアプリなどを通じて、Windows向けマルウェア「RevStealer」が拡散しています。
- ブラウザデータやパスワード情報だけでなく、50種類以上の暗号資産ウォレットが窃取の標的となっています。
- メモリ容量やハードウェア構成、処理遅延を監視して解析環境を回避する巧妙な仕組みを備えている点で警戒が必要です。
- 暗号資産ウォレットアプリの画面をキャプチャーする「OkoBot」など、投資家を標的としたマルウェアが相次いで確認されています。