Una aplicación para Windows que se presenta como «Claude Opus 5 Free Desktop» es en realidad un vehículo para distribuir RevStealer, un programa malicioso diseñado para robar información. No es un producto ni un lanzamiento de Anthropic: los atacantes utilizan la marca de Claude como señuelo.
Morphisec localizó la falsa aplicación en repositorios de GitHub y en páginas dedicadas a trucos para videojuegos. Uno de los repositorios ofrecía un archivo llamado ClaudeOpus5-desktop.zip, de aproximadamente 101 MB. La campaña no se ha atribuido públicamente a ningún grupo.
Qué ocurre al abrir la aplicación
El archivo contiene una aplicación Electron manipulada. Electron es una tecnología que permite crear programas de escritorio con componentes web y que, en este caso, sirve para dar al señuelo la apariencia de una aplicación convencional.
Cuando se ejecuta, el cargador comprueba el entorno e intenta añadir la carpeta AppData a las exclusiones de Microsoft Defender. Después descifra la carga maliciosa, la inicia de forma oculta y trata de borrar los archivos de preparación.
RevStealer busca datos almacenados en navegadores, el Administrador de credenciales de Windows y gestores de contraseñas. También recopila credenciales de servicios VPN y herramientas de acceso remoto, información de aplicaciones de mensajería, capturas de pantalla y determinados documentos.
El análisis identifica además 51 carteras de criptomonedas entre sus objetivos. El malware copia material y configuraciones relacionados con ellas, aunque el informe no demuestra que pueda descifrar localmente todos esos monederos ni que vacíe fondos de forma automática.
Exfiltración y respuesta ante una posible infección
Los datos robados se envían progresivamente al servidor de mando y control, sin agruparlos antes en un gran archivo local. RevStealer también puede consultar un contrato inteligente en Polygon para obtener una dirección de respaldo.
El riesgo afecta a quienes hayan descargado y ejecutado la falsa aplicación, no a los usuarios de Claude por el mero hecho de utilizar el servicio legítimo. Ante una posible infección, es recomendable desconectar el equipo de la red y analizarlo con una herramienta de seguridad actualizada. Las contraseñas deben cambiarse desde otro dispositivo limpio, dando prioridad al correo electrónico, gestores de contraseñas, VPN, acceso remoto y servicios financieros; también conviene revocar las sesiones abiertas y revisar la actividad de las carteras afectadas.
