// TOM'S HARDWARE ITALIA — CYBERSECURITY
Scaricare Claude Opus 5 gratis può costare password e wallet
Operatori criminali non identificati stanno sfruttando il nome di Anthropic per distribuire un falso download gratuito di Claude Opus 5. Il pacchetto installa in realtà RevStealer, un nuovo infostealer per Windows progettato per sottrarre credenziali, sessioni, documenti, portafogli di criptovalute e dati conservati nei browser. Una singola esecuzione può quindi esporre numerosi account personali e professionali.
Il campione analizzato proveniva dal repository GitHub claude5opus/Claude-Opus-5-Free-Desktop, ma il malware viene distribuito anche attraverso siti dedicati ai trucchi per videogiochi. L'archivio ClaudeOpus5-desktop.zip contiene un eseguibile che avvia un'applicazione Electron invisibile: non appare alcuna finestra e il software opera esclusivamente come loader del payload malevolo.
Prima dell'installazione vengono eseguiti diversi controlli anti-sandbox. Il computer deve avere almeno 2 GiB di memoria fisica, due core logici e un adattatore grafico appartenente a un produttore riconosciuto. Nomi utente e hostname vengono inoltre confrontati con 14 termini associati agli ambienti di analisi. Superati i test, il loader tenta di escludere AppData dalle scansioni di Microsoft Defender, senza richiedere privilegi elevati, e scrive comunque il payload nella cartella.
RevStealer applica poi un secondo sistema di valutazione basato su debugger, strumenti di analisi della rete, monitor dei processi, software di virtualizzazione, memoria disponibile, uptime e configurazione della CPU. Alcune varianti mostrano anche un CAPTCHA di sei caratteri per ostacolare gli strumenti automatici. Le funzioni di Windows vengono risolte percorrendo il Process Environment Block, mentre 14 operazioni sfruttano chiamate di sistema indirette per evitare i punti normalmente sorvegliati dai prodotti di sicurezza.
Dopo il collegamento al server di comando e controllo, il malware invia un'impronta del sistema composta da 17 campi, insieme all'elenco dei programmi installati, ai processi attivi, alle variabili d'ambiente, agli appunti e a una schermata del desktop. Se il server principale non risponde, RevStealer interroga uno smart contract sulla blockchain Polygon, dal quale recupera un indirizzo C2 alternativo aggiornabile senza ricompilare il malware.
I dati raccolti restano in memoria, vengono cifrati tramite AES-128-CBC, codificati in Base64 e inviati progressivamente dentro richieste JSON. Il traffico utilizza WinINet e si presenta come proveniente da Chrome 147, così da confondersi con la normale navigazione. I pacchetti più grandi vengono compressi con DEFLATE, ma RevStealer evita di creare sul disco un unico archivio, riducendo le tracce disponibili per i sistemi di monitoraggio.
L'elenco degli obiettivi comprende database dei browser Chromium e Gecko, 11 password manager, 51 portafogli di criptovalute, sei applicazioni di messaggistica, sei servizi VPN, profili gaming, Windows Credential Manager e file presenti in Desktop, Documenti, Download, OneDrive, Dropbox e Google Drive. Per superare la App-Bound Encryption di Chromium, il malware avvia un processo derivato da Chrome o Edge sotto debugger e intercetta la chiave attraverso un breakpoint hardware.
Al momento dell'analisi, RevStealer risultava individuato da un solo motore su VirusTotal e presentava un punteggio della comunità pari a -54. Una vittima ha riferito che gli account Microsoft ed Electronic Arts erano stati compromessi poche ore dopo l'installazione. Eventuali copie gratuite distribuite da repository non ufficiali devono quindi essere considerate ostili, soprattutto quando promettono applicazioni desktop normalmente non disponibili in quella forma.
Aggiungi Tom's Hardware alle tue fonti preferite su Google