Fausse App Claude Diffuse RevStealer Vers 50 Portefeuilles

On vous promet l’accès gratuit à un modèle d’intelligence artificielle payant, on habille le téléchargement des couleurs d’une marque déjà connue, et l’on vous laisse croire qu’un simple fichier suffit à obtenir l’outil du moment. Sur Windows, cette recette a suffi à faire circuler RevStealer, un logiciel malveillant conçu pour vider des sessions, des gestionnaires de mots de passe et plus de cinquante portefeuilles de cryptomonnaies. L’application se présente comme un bureau Claude. Elle n’affiche presque rien. Elle prépare pourtant un vol bref, chiffré, puis disparaît.

Une fausse application Claude qui ne montre rien

Le leurre le plus visible porte un nom volontairement alléchant : Claude Opus 5 Free Desktop. L’emballage reprend l’identité visuelle d’Anthropic, la société derrière Claude, et insiste sur un accès gratuit à un modèle habituellement payant. Ce détail n’est pas anodin. Dans un marché où les abonnements d’IA pèsent déjà lourd dans les budgets personnels et professionnels, l’idée d’obtenir « la version complète » sans passer par la caisse reste un aimant puissant.

Avant d’emprunter le nom de Claude, le même maliciel a circulé via des dépôts GitHub et des sites qui vendent des triches pour jeux vidéo. Les chercheurs de Morphisec Threat Labs soulignent que le projet Claude-thème est le plus révélateur, parce qu’il transforme une envie d’outil sérieux en installation d’un logiciel non vérifié. Le fichier arrive sous la forme d’une archive d’environ 101 mégaoctets. À l’intérieur se trouve une application Electron 64 bits. Sur le papier, on attend une fenêtre, un champ de saisie, une conversation. Dans les faits, aucun interface utile n’apparaît.

Le chargeur conserve la charge utile comme une ressource chiffrée en AES-256-CBC. Une fois les premiers filtres passés, il déchiffre le fichier, l’écrit dans le répertoire AppData de Windows, puis lance le programme sans afficher de fenêtre. Au même moment, il tente d’ajouter le dossier AppData à la liste d’exclusions de Microsoft Defender. L’objectif est double : réduire les traces et laisser au vol le temps de s’achever avant qu’un produit de sécurité ne s’en mêle.

Des contrôles qui refusent les laboratoires

RevStealer n’ouvre pas immédiatement le coffre. Il commence par regarder si quelqu’un l’observe. Le chargeur exige au moins deux gigaoctets de mémoire physique, deux cœurs logiques et un adaptateur graphique reconnu. Ces seuils éliminent une partie des machines virtuelles légères utilisées pour l’analyse automatique. Le nom d’hôte et le nom d’utilisateur sont comparés à une liste noire associée à des environnements de recherche.

Un test de temporisation mesure le délai autour d’une instruction de débogueur JavaScript. Si l’exécution s’arrête plus d’une centaine de millisecondes, la table de chaînes encodées est effacée. Autrement dit, poser un point d’arrêt trop visible peut faire disparaître les indices. L’étage natif enchaîne ensuite une dizaine de vérifications qui produisent un score anti-machine virtuelle pondéré. Le logiciel inspecte aussi la langue du système et s’arrête sur des configurations en russe, en ukrainien et dans plusieurs langues d’Asie centrale.

Chaque étape est conçue autour de l’hypothèse que quelque chose regarde.

Shmuel Uzan, Morphisec

Une fenêtre de type CAPTCHA impose enfin une interaction humaine. Si l’un des premiers contrôles échoue, le chargeur ne déchiffre pas la charge. Les analystes se retrouvent alors avec un fichier presque muet. C’est une stratégie classique des stealer modernes, poussée ici jusqu’à l’obsession : moins on livre de comportement malveillant en bac à sable, moins les signatures se construisent vite.

Des appels système qui évitent les filets habituels

Une fois accepté, RevStealer résout les interfaces de programmation Windows sans table d’importation standard. Les chercheurs ont aussi identifié quatorze enveloppes d’appels système indirects. Ces wrappers permettent d’atteindre le noyau sans passer par les fonctions exportées que les produits de sécurité surveillent en priorité. Le maliciel ne cherche pas seulement à voler. Il cherche à voler sans déclencher le réflexe des outils qui regardent les API trop connues.

Cette approche n’est pas unique, mais elle s’inscrit dans une tendance nette : les voleurs d’informations ne se contentent plus d’un exécutable bruyant. Ils empilent des filtres, du chiffrement, des appels obliques et un calendrier très court. Le résultat, pour l’utilisateur, est un silence trompeur. L’ordinateur a l’air calme. Les données, elles, sont déjà en file d’attente.

Ce que le maliciel cherche vraiment

Sur une machine acceptée, RevStealer parcourt les bases des navigateurs, les clés de chiffrement et le stockage des extensions. La liste confirmée comprend le Gestionnaire d’identification Windows, douze gestionnaires de mots de passe, plus de cinquante portefeuilles de cryptomonnaies et les cookies de session. Le programme s’intéresse aussi aux configurations VPN, aux identifiants d’accès distant, au presse-papiers, aux données d’applications de messagerie, à certains documents, aux captures d’écran, aux lanceurs de jeux et aux profils OBS.

Chaque source est rangée dans un enregistrement typé et chiffré avant d’être envoyé vers le serveur de commande et de contrôle. Les cookies de navigateur méritent une mention particulière. Une session déjà authentifiée peut suffire à reprendre un compte, même lorsque le propriétaire utilise une double authentification. Le cookie porte parfois la preuve qu’un humain a déjà validé l’étape supplémentaire. Réutiliser ce jeton évite de redemander le mot de passe et le second facteur.

Si le serveur principal devient indisponible, RevStealer peut récupérer une adresse de repli depuis un contrat intelligent sur la blockchain Polygon. Les opérateurs changent ainsi d’infrastructure sans reconstruire ni redistribuer le programme. Cette astuce n’est plus rare dans l’écosystème des stealer, mais elle reste efficace : un domaine saisi par une autorité ne coupe pas forcément le canal.

Pas de persistance, une salve puis le vide

Contrairement à beaucoup de familles qui créent une tâche planifiée ou une entrée de démarrage, RevStealer ne s’installe pas pour durer. Il collecte ce qui est disponible, transmet le butin, puis se retire. Morphisec décrit l’opération comme une « courte salve de vol ». Quand une alerte arrive enfin sur la console d’un analyste, les identifiants, les cookies et le matériel de portefeuille peuvent déjà avoir quitté la machine.

Ce choix change la manière dont on doit penser la défense. Un antivirus qui « attrape » le fichier trop tard ne répare pas un seed phrase déjà recopié, ni une session déjà rejouée sur un autre ordinateur. La fenêtre utile se situe avant le clic : source du téléchargement, signature de l’éditeur, canal officiel, et habitude de ne jamais installer un client d’IA trouvé sur un dépôt improvisé.

Pourquoi l’appât de l’intelligence artificielle fonctionne

Les campagnes qui se font passer pour des films, des mises à jour de visioconférence ou des outils de récupération de portefeuille existent depuis des années. L’arrivée massive des assistants conversationnels a simplement ajouté un nouvel objet désirable. Beaucoup d’utilisateurs cherchent un client de bureau, une version « débridée », un accès hors quota. Les pirates n’ont pas besoin d’inventer un produit. Ils empruntent un nom déjà chargé d’autorité.

Le fichier Electron facilite encore le tour de passe-passe. Electron sert à de véritables applications de messagerie, de développement et de productivité. Un dossier de plus de cent mégaoctets paraît donc crédible. On n’imagine pas forcément qu’un tel volume puisse n’être qu’un décor autour d’un chargeur. Le poids rassure. Le logo rassure. L’absence de fenêtre, elle, devrait inquiéter. Trop peu de gens s’arrêtent à ce silence.

Il faut aussi parler d’un réflexe culturel. Dans la crypto, on installe souvent des outils communautaires, des tableaux de bord, des « helpers » trouvés sur des forums. La frontière entre logiciel utile et logiciel non signé est poreuse. RevStealer exploite exactement cette porosité. Il ne force pas une faille zero-day spectaculaire. Il attend qu’on lui ouvre la porte.

Une famille de campagnes qui se ressemblent trop

En août, de faux téléchargements d’un film très attendu ont servi à livrer Lumma Stealer via des exécutables Windows déguisés en copies 1080p, WEBRip ou Blu-ray. Ce maliciel collectait lui aussi des données de portefeuilles, des mots de passe enregistrés, des informations de paiement, des cookies et des identifiants de bureau à distance. Le scénario change, le butin reste le même.

En juillet, une autre campagne a utilisé des pages de réunion ressemblantes et des comptes Telegram compromis pour viser des professionnels de la crypto. Des opérateurs liés à BlueNoroff ont scanné les navigateurs à la recherche de portefeuilles Ethereum et Solana, puis ont présenté à une partie des victimes de fausses mises à jour Zoom ou Teams. L’affaire touchait Windows et macOS. Sur Windows, le chargeur PowerShell ajoutait une exclusion Defender. Sur macOS, le code récupérait des informations système et des clés maître Chrome dans le trousseau.

La même saison, un cadre modulaire baptisé OkoBot a été décrit avec une vingtaine de modules : faux écrans de récupération, journalisation de frappes, surveillance du presse-papiers. Un composant nommé SeedHunter montrait une interface de restauration associée à des appareils Ledger et Trezor. Toute phrase de récupération saisie partait vers les opérateurs. Un autre module enregistrait les fenêtres de portefeuille ouvertes. Les utilisateurs touchés se trouvaient notamment au Brésil, au Vietnam, au Canada, au Mexique et en Turquie.

Aux États-Unis, les autorités ont déjà traité un dossier voisin autour de LummaC2, un service de vol d’informations vendu comme un produit. Le ministère de la Justice a indiqué en mai 2025 que ce maliciel avait servi dans au moins 1,7 million d’incidents. Cinq domaines ont été saisis. Un partenaire industriel a aidé à perturber environ 2 300 noms de domaine liés à l’infrastructure. Matthew Galeotti, alors à la tête de la division pénale, avait résumé l’usage de ces outils : voler des identifiants pour faciliter des virements frauduleux et le vol de cryptomonnaies.

RevStealer n’est donc pas une exception isolée. C’est un nouvel exemplaire d’une industrie qui industrialise le vol de sessions. Le nom de l’appât change. La logique commerciale, elle, reste stable : trouver un objet que les gens veulent installer eux-mêmes.

Portefeuilles, cookies et double authentification

Beaucoup d’utilisateurs croient encore qu’une application d’authentification suffit à fermer la porte. Contre un mot de passe volé, c’est souvent vrai. Contre un cookie de session valide, c’est plus fragile. Si le navigateur a déjà franchi l’étape du second facteur, le jeton peut porter cette victoire avec lui. Un attaquant qui réinjecte le cookie dans un autre profil peut arriver directement dans le compte.

Les portefeuilles d’extension sont particulièrement exposés, parce qu’ils vivent dans le même espace que le navigateur. Un maliciel qui lit le stockage des extensions, les bases locales et parfois les phrases de récupération enregistrées sans précaution n’a pas besoin de casser une blockchain. Il lit le disque. Les portefeuilles matériels restent plus robustes, à condition de ne jamais saisir la phrase de récupération dans une fenêtre inattendue, jamais dans un « assistant de restauration » téléchargé à la va-vite, jamais dans un formulaire qui imite Ledger ou Trezor.

Le presse-papiers reste un autre angle mort. Copier une adresse, coller une transaction, recopier un mot de passe « juste une seconde » : ces gestes laissent des traces que RevStealer sait regarder. Les lanceurs de jeux et les profils OBS peuvent sembler hors sujet. Ils ne le sont pas. Ils contiennent parfois des jetons, des configurations de streaming, des chemins vers des dossiers personnels. Un voleur d’informations ne trie pas selon nos catégories mentales. Il prend ce qui se monétise ou ce qui ouvre une porte suivante.

Le rôle de Polygon dans la survie du réseau

Utiliser un contrat intelligent comme carnet d’adresses de secours n’a rien d’un détail technique pour initiés. Cela signifie que la liste des serveurs n’est plus seulement un fichier figé dans le binaire. Elle peut être mise à jour on-chain. Bloquer un domaine ne suffit plus. Il faut aussi observer les lectures du contrat, les nouvelles adresses, les relais. Pour les opérateurs, le coût est faible. Pour les défenseurs, le travail devient plus long.

Cette bascule vers des infrastructures « semi-décentralisées » accompagne d’autres habitudes : chiffrement des butins, enregistrements typés, absence de persistance. Tout est pensé pour qu’un échantillon isolé raconte peu d’histoire. On retrouve ici la phrase des chercheurs : le programme suppose qu’on le regarde. Il agit donc comme s’il n’avait qu’une seule chance, courte, avant que la lumière s’allume.

Comment reconnaître le piège avant le clic

Le premier filtre n’est pas un logiciel. C’est une question simple : l’éditeur officiel propose-t-il réellement un client de bureau gratuit portant ce nom exact ? Si la réponse est floue, le téléchargement n’a pas lieu d’être. Un dépôt GitHub improvisé, un site de triche, un lien envoyé en message privé, un « pack complet » de 101 mégaoctets sans éditeur vérifié : autant de signaux qui devraient suffire à s’arrêter.

• Vérifier l’éditeur et le canal officiel avant toute installation d’outil d’IA.
• Refuser les archives qui promettent un modèle payant en version libre.
• Surveiller les tentatives d’ajout d’exclusions dans Defender.
• Séparer le navigateur des gros soldes crypto, idéalement via un portefeuille matériel.
• Révoquer les sessions et faire tourner les mots de passe après un doute sérieux.

Sur Windows, une exclusion Defender ajoutée sans action claire de l’utilisateur est un signal d’alarme. Beaucoup de chargeurs récents commencent par là. Le dossier AppData devient alors une zone moins regardée, idéale pour déposer un exécutable au nom aléatoire. Un contrôle périodique des exclusions, des programmes récemment ajoutés et des connexions sortantes inhabituelles reste utile, même si RevStealer cherche à finir son travail avant ces inspections.

Les machines de recherche ne sont pas les seules à échouer aux tests anti-VM. Certains postes trop dépouillés, certaines configurations linguistiques, certains environnements virtualisés d’entreprise peuvent aussi stopper le chargeur. Ce n’est pas une protection sur laquelle s’appuyer. C’est un hasard statistique. La vraie protection reste de ne pas exécuter le leurre.

Que faire si l’application a déjà été lancée

Si le fichier a été ouvert, il faut partir du principe que la salve a pu aboutir. Déconnecter la machine du réseau limite la suite, mais ne rattrape pas un envoi déjà parti. Ensuite vient le travail ennuyeux et nécessaire : rotation des mots de passe depuis un appareil sain, révocation des sessions de messagerie et d’échange, invalidation des cookies, inspection des comptes d’accès distant et des VPN.

Pour les cryptomonnaies, la règle est plus brutale. Si une phrase de récupération, une clé privée ou un fichier de portefeuille logiciel a pu être lu, les fonds doivent être déplacés vers une nouvelle graine générée hors ligne, de préférence sur un dispositif matériel. Attendre une confirmation d’un antivirus « tout est propre » n’a pas de sens : le programme a pu s’effacer après le vol. L’absence de fichier restant n’est pas une preuve d’absence de préjudice.

Les plateformes d’échange doivent être prévenues lorsque des retraits inhabituels apparaissent. Les gestionnaires de mots de passe concernés doivent être considérés comme compromis si le coffre était déverrouillé ou si le maliciel a pu atteindre leur stockage. Douze familles de coffres figurent dans le périmètre observé. Mieux vaut trop changer que trop attendre.

Ce que cette affaire dit du marché crypto

Le vol de cryptomonnaies ne passe plus seulement par un contrat mal écrit ou un pont défaillant. Il passe par le poste de travail. Tant que les utilisateurs mélangent navigation quotidienne, extensions de portefeuille, documents personnels et outils d’IA téléchargés à la hâte, le coût d’attaque reste bas. RevStealer le montre avec une clarté presque pédagogique : pas besoin de rester des semaines sur la machine. Une heure, parfois moins, suffit.

Les entreprises du secteur ne sont pas épargnées. Les campagnes de fausses réunions l’ont déjà prouvé. Un salarié qui installe un « client Claude gratuit » sur un portable professionnel ouvre potentiellement des sessions d’administration, des tableaux de trésorerie, des accès à des coffres d’équipe. La frontière entre incident personnel et incident d’entreprise s’efface dès que le même navigateur sert aux deux mondes.

On peut aussi lire cette affaire comme un rappel sur la communication des marques d’IA. Plus un nom devient désirable, plus il sera copié. Les utilisateurs doivent apprendre à traiter un client non officiel comme ils traiteraient une application bancaire trouvée sur un forum : avec un refus immédiat. Les éditeurs, de leur côté, ont intérêt à répéter inlassablement les canaux légitimes. Le silence laisse le champ libre aux archives de 101 mégaoctets.

Une défense qui commence par des habitudes banales

Il n’existe pas de bouton magique contre un stealer bien filtré. Il existe des habitudes qui réduisent la surface. Séparer un navigateur « finance » d’un navigateur « quotidien ». Éviter d’enregistrer les phrases de récupération dans un gestionnaire en clair sur la même machine. Tenir à jour le système sans pour autant faire confiance à une fausse mise à jour. Considérer tout CAPTCHA bizarre au premier lancement d’un logiciel « gratuit » comme un signal, pas comme une formalité.

Les équipes de sécurité peuvent ajouter des règles autour des exclusions Defender créées par des processus Electron inconnus, autour des écritures d’exécutables au nom aléatoire dans AppData, autour des communications vers des infrastructures récemment apparues. Rien de tout cela n’est parfait. Cela allonge toutefois le temps nécessaire au voleur, alors que son modèle économique repose précisément sur la brièveté.

Les particuliers, eux, n’ont pas besoin d’un laboratoire. Ils ont besoin d’un réflexe : si une application d’IA n’ouvre pas de fenêtre et commence par travailler en silence, on coupe. Si un site promet Claude, Opus, un modèle payant et la gratuité dans la même phrase, on ferme. Si un GitHub inconnu fournit un bureau complet en un fichier unique, on passe son chemin.

Le vrai prix d’un outil « gratuit »

RevStealer n’invente pas le vol d’informations. Il l’adapte à une saison où l’intelligence artificielle est devenue un objet de désir aussi fort qu’un film piraté ou une triche de jeu. Le packaging change. Le butin, lui, reste terriblement concret : sessions, cookies, coffres, portefeuilles, captures, presse-papiers. Une fois le paquet parti, le programme s’efface. Il ne reste parfois qu’un souvenir d’avoir voulu « juste tester » un client de bureau.

Les prochaines campagnes porteront d’autres noms. Peut-être un autre modèle d’IA, un autre logiciel de réunion, un autre jeu, une autre mise à jour de portefeuille. La question utile n’est pas de retenir uniquement le mot RevStealer. Elle est de reconnaître le schéma : marque connue, promesse trop généreuse, fichier lourd, silence à l’écran, exclusion de sécurité, disparition rapide. Tant que ce schéma fonctionnera, les archives continueront de circuler.

Garder ses cryptomonnaies, ce n’est pas seulement choisir un réseau ou un protocole. C’est aussi refuser d’offrir son disque à un programme qui n’a jamais eu l’intention de discuter. La fausse application Claude n’était pas un assistant. C’était une valise. Elle s’est ouverte, a pris ce qu’elle pouvait, puis a quitté la pièce avant que l’alarme n’ait le temps de sonner.