Gefälschte Claude-Desktop-App verbreitet RevStealer-Malware und gefährdet über 50 Krypto-Wallets

Die neueste Welle von Windows-Malware, die sich gegen Krypto-Nutzer richtet, folgt einem bekannten Muster: eine vertrauenswürdige Marke, ein verlockender Download und eine versteckte Nutzlast, die alles stehlen soll, was ein Opfer im Browser gespeichert hat. In diesem Fall setzen die Angreifer auf ein gefälschtes Claude-Desktop-Installationsprogramm, um RevStealer zu verbreiten — eine Datendiebstahl-Malware-Familie, die offenbar darauf ausgelegt ist, Zugangsdaten, Sitzungsdaten und walletbezogene Informationen in großem Umfang abzugreifen.

Für alle, die im Kryptobereich aktiv sind, ist das nicht einfach nur eine weitere generische Phishing-Geschichte. Es erinnert daran, dass die größte Gefahr oft nicht ein direkter Angriff auf die Blockchain selbst ist, sondern auf das Gerät, auf dem man surft, bestätigt, signiert und Vermögenswerte verwaltet.

Warum eine gefälschte KI-App ein wirksamer Köder für Krypto-Nutzer ist

KI-Tools sind inzwischen Teil der täglichen Arbeitsabläufe von Tradern, Gründern, Analysten und Entwicklern. Genau das macht sie zu idealem Ködermaterial. Eine gefälschte „kostenlose“ Desktop-Version eines beliebten Assistenten senkt die Skepsis, weil das Opfer glaubt, Produktivitätssoftware zu installieren — und nicht gerade die Tür für einen Credential-Dieb zu öffnen.

Dieses Muster passt zu einem breiteren Trend in der Cyberkriminalität: Angreifer verpacken Malware immer häufiger in Software, die nützlich, aktuell oder exklusiv wirkt. Installer mit Begriffen wie „Free Pro“, „cracked“ oder „desktop mod“ bleiben beliebte Lockmittel, weil sie Neugier und Zeitdruck gleichzeitig ausnutzen.

Wenn du das echte Produkt willst, solltest du immer von der offiziellen Claude-Website unter claude.ai ausgehen — nicht von Drittanbieter-Mirrors, Reposts oder Download-Sammlungen.

Was RevStealer stehlen will

Sicherheitsforscher sagen, dass diese Malware darauf ausgelegt ist, eine breite Palette sensibler Daten zu sammeln, darunter:

• Browser-Benutzernamen und Passwörter
• Cookies und Sitzungstokens
• Daten aus Passwortmanagern
• VPN- und Remote-Access-Einstellungen
• Daten aus Messaging-Apps
• Screenshots
• Ausgewählte Dokumente
• Informationen zu mehr als 50 Krypto-Wallets

Diese Mischung ist für Krypto-Nutzer besonders gefährlich, weil eine Kompromittierung selten mit dem direkten Abfluss eines Private Keys beginnt. Häufig stiehlt ein Angreifer zuerst Browser-Sitzungen, Daten von Wallet-Erweiterungen, Cloud-Logins oder Wiederherstellungsmaterial. Von dort aus kann er sich weiter zu Börsenkonten, Trading-Dashboards, E-Mail und Passwortmanagern vorarbeiten.

Eine hilfreiche Grundlage zum Verständnis dieses Bedrohungsmodells bietet Microsofts Überblick über Malware, der erklärt, wie moderne Schadsoftware oft auf Diebstahl, Persistenz und Tarnung statt auf offensichtliche Zerstörung setzt.

Warum Krypto-Wallets so wertvolle Ziele sind

Krypto-Nutzer bündeln wertvolle Aktivitäten oft auf einem einzigen Endgerät: Dasselbe Notebook kann Börsen-Logins, On-Chain-Dashboards, Wallet-Erweiterungen, Seed-Backups und Messaging-Apps für Deals oder Community-Arbeit enthalten. Diese Konzentration macht einen Windows-Kompromiss überproportional schädlich.

Selbst wenn keine Private Keys direkt gestohlen werden, können Angreifer dennoch Folgendes ausnutzen:

1. Browser-Cookies und Sitzungen, um Konten ohne erneute Passworteingabe zu übernehmen.
2. Gespeicherte Zugangsdaten, um auf E-Mail, Cloud-Speicher und Börsen zuzugreifen.
3. Daten aus Passwortmanagern, die eine größere Zahl von Diensten freischalten können.
4. Screenshots und Dokumente, die Recovery-Phrasen, API-Keys oder Portfolio-Informationen offenlegen können.

Für Krypto-Besitzer zeigt sich hier, warum Endgerätesicherheit ebenso wichtig ist wie On-Chain-Sicherheit. Wallet-Schutz bedeutet nicht nur die Wallet-App selbst, sondern auch die Umgebung, in der diese Wallet verwendet wird.

RevStealer versucht außerdem, Analysten zu täuschen

Laut der Untersuchung enthält die Malware Prüfungen von Speicher, CPU-Kernen, Benutzernamen, Hostnamen und Grafikhardware, um festzustellen, ob sie auf einem echten Nutzergerät läuft. Erkennt sie Anzeichen für Debugging oder Virtualisierung, kann sie die Schadaktivität stoppen oder reduzieren.

Das ist wichtig, weil die Malware so Sandboxes und Analyseumgebungen eher entgeht. Praktisch bedeutet das: Ein Sample kann bei der Prüfung harmlos wirken und erst auf einem echten Opfergerät vollständig aktiv werden.

Auch deshalb sind gefälschte Installer so effektiv: Sie sind keine lauten Ransomware-Ausbrüche. Es sind stille Credential-Sammler, die warten, bis sie genug Daten haben, um für den Angreifer nützlich zu werden.

Die Sicherheitslektion für Krypto: Der Quelle vertrauen, nicht dem Versprechen

Das Versprechen einer „kostenlosen Premium“-KI-App ist fast immer eine Falle. Im Kryptobereich gilt dieselbe Warnung für Wallet-Tools, Trading-Bots, Airdrop-Dashboards und „besondere“ Browser-Erweiterungen. Ist der Downloadpfad inoffiziell, ist das Risiko nicht theoretisch.

Folgende Punkte sollten Nutzer als Warnzeichen sehen:

• Ein Download außerhalb der offiziellen Website des Anbieters
• Versprechen von „Free Pro“, „cracked“ oder „unlocked“ Software
• Installer, die über zufällige Repositories oder Foren geteilt werden
• Gebündelte Add-ons, Skripte oder nicht signierte ausführbare Dateien
• Aufforderungen, Sicherheitssoftware während der Installation zu deaktivieren

Für allgemeine Vorsicht bei Phishing und Social Engineering bieten CISAs Hinweise zu Phishing sowie die Initiative Secure Our World eine sehr brauchbare praktische Checkliste für Verbraucher und Teams.

Wie Krypto-Nutzer ihr Risiko ab sofort verringern können

Wenn du Windows für alles nutzt, was mit digitalen Vermögenswerten zu tun hat, können ein paar Gewohnheiten das Risiko deutlich senken:

1. KI- und Wallet-Software nur aus offiziellen Quellen beziehen

Lade nur von der offiziellen Website oder einem verifizierten App Store herunter. Vermeide Mirrors, „portable“ Builds und Links aus sozialen Medien.

2. Krypto-Aktivitäten vom alltäglichen Surfen trennen

Nutze ein eigenes Browser-Profil oder sogar ein separates Gerät für Börsenzugänge, DeFi und Wallet-Verwaltung. Weniger Erweiterungen bedeuten weniger Möglichkeiten für Token-Diebstahl.

3. Das Modell deines Passwortmanagers überprüfen

Ein Passwortmanager ist weiterhin nützlich, aber seine Daten werden hochsensibel, wenn das Endgerät kompromittiert ist. Schütze das Master-Passwort, aktiviere starke MFA und ändere wichtige Passwörter nur von einem sauberen Gerät aus, wenn du einen Befall vermutest.

4. Wiederherstellungsmaterial offline aufbewahren

Seed-Phrasen, Recovery-Shares und Backup-Notizen sollten niemals in Screenshots, Cloud-Notizen oder Desktop-Ordnern liegen.

5. Bei Dringlichkeit skeptisch bleiben

Malware-Kampagnen setzen oft auf Zeitdruck: begrenztes Angebot, begrenzte Beta, begrenzte Einladung, begrenzte Freischaltung. Dieser Druck ist Teil des Angriffs.

6. Bei relevanten Beträgen hardwaregestütztes Signieren nutzen

Wenn eine Wallet-Kompromittierung auf dem Desktop beginnt, kann es verhindern, dass der Angreifer die privaten Schlüssel direkt ausliest, wenn diese nicht auf diesem Rechner gespeichert sind.

Wo eine Hardware-Wallet ins Spiel kommt

Eine Hardware-Wallet macht Phishing nicht verschwinden, aber sie verändert die Kosten eines Fehlers. Wenn dein Computer mit einem Stealer wie RevStealer infiziert ist, können offline gespeicherte Private Keys helfen, aus einem Browser-Kompromiss keinen vollständigen Vermögensverlust werden zu lassen.

Deshalb bevorzugen viele Langzeit-Halter und aktive On-Chain-Nutzer für höhere Beträge einen Hardware-Wallet-Workflow. Ein Gerät wie OneKey kann dabei helfen, private Schlüssel von einem infizierten PC zu isolieren und die Transaktionsfreigabe bewusster zu machen — besonders wichtig, wenn man dem Desktop-Umfeld nicht mehr vertrauen kann.

Die Kernidee ist einfach: Wenn dein Laptop der Ort ist, an dem du surfst und handelst, sollte er nicht gleichzeitig der Ort sein, an dem deine sensibelsten Schlüssel leben.

Fazit

Die gefälschte Claude-Desktop-Kampagne ist ein lehrreiches Beispiel dafür, wie sich Krypto-Diebstahl weiterentwickelt hat. Angreifer müssen Blockchains nicht mehr knacken; sie müssen nur noch die Endpunkte kompromittieren, an denen Nutzer sich anmelden, signieren und Wiederherstellungsdaten speichern.

Für Krypto-Halter ist der beste Schutz ein mehrschichtiger Ansatz: nur aus vertrauenswürdigen Quellen installieren, die Browser-Angriffsfläche verringern, Wiederherstellungsdaten offline halten und ernsthafte Beträge in hardwaregestützter Speicherung sichern. In einer Bedrohungslage, in der Stealer auf Dutzende Wallets zugleich zielen können, ist diese Disziplin längst keine Option mehr.