Une fausse application de bureau Claude propage le malware RevStealer et met plus de 50 portefeuilles crypto en danger

La dernière vague de logiciels malveillants Windows visant les utilisateurs de crypto a une forme bien connue : une marque de confiance, un téléchargement alléchant et une charge utile cachée conçue pour voler tout ce qu’une victime a stocké dans son navigateur. Dans ce cas précis, les attaquants utilisent un faux installateur de bureau Claude pour diffuser RevStealer, une famille de malware spécialisé dans le vol de données, qui semble conçue pour récupérer à grande échelle des identifiants, des données de session et des informations liées aux portefeuilles.

Pour toute personne active dans la crypto, il ne s’agit pas d’une simple histoire de phishing générique. C’est un rappel que la menace la plus dangereuse ne vise souvent pas directement la blockchain elle-même, mais l’appareil sur lequel vous naviguez, approuvez, signez et gérez vos actifs.

Pourquoi une fausse application d’IA est un appât crypto efficace

Les outils d’IA font désormais partie du quotidien des traders, fondateurs, analystes et bâtisseurs. Cela en fait des appâts idéaux. Une fausse version de bureau « gratuite » d’un assistant populaire suscite moins de méfiance, car la victime pense installer un logiciel de productivité, et non ouvrir la porte à un voleur d’identifiants.

Ce schéma s’inscrit dans une tendance plus large de la cybercriminalité : les attaquants emballent de plus en plus leurs malwares dans des logiciels qui paraissent utiles, actuels ou exclusifs. Les installateurs de type « Free Pro », « cracked » ou « desktop mod » restent des appâts courants, car ils exploitent à la fois la curiosité et le sentiment d’urgence.

Si vous voulez le vrai produit, partez toujours du site officiel de Claude à l’adresse claude.ai, et non de miroirs tiers, de republications ou de packs de téléchargement.

Ce que RevStealer cherche à voler

Selon les chercheurs en sécurité, ce malware est conçu pour collecter un large éventail de données sensibles, notamment :

• Noms d’utilisateur et mots de passe du navigateur
• Cookies et jetons de session
• Données des gestionnaires de mots de passe
• Paramètres VPN et d’accès à distance
• Données des applications de messagerie
• Captures d’écran
• Documents sélectionnés
• Informations liées à plus de 50 portefeuilles crypto

Ce mélange est particulièrement dangereux pour les utilisateurs crypto, car une compromission ne commence que rarement par la fuite d’une clé privée. Le plus souvent, un attaquant vole d’abord des sessions de navigateur, des données d’extensions de portefeuille, des connexions cloud ou des éléments de récupération. À partir de là, il peut rebondir vers des comptes d’exchange, des tableaux de bord de trading, des e-mails et des gestionnaires de mots de passe.

Pour mieux comprendre ce modèle de menace, il est utile de consulter l’aperçu de Microsoft sur les logiciels malveillants, qui explique comment les malwares modernes se concentrent souvent sur le vol, la persistance et la discrétion plutôt que sur des perturbations visibles.

Pourquoi les portefeuilles crypto sont une cible si précieuse

Les utilisateurs de crypto ont tendance à concentrer des actions de grande valeur sur un seul point de terminaison : le même ordinateur portable peut contenir les identifiants d’exchange, les tableaux de bord blockchain, les extensions de portefeuille, les sauvegardes de seed phrase et les applications de messagerie utilisées pour les transactions ou le travail communautaire. Cette concentration rend une compromission Windows particulièrement dommageable.

Même lorsque les clés privées ne sont pas volées directement, les attaquants peuvent exploiter :

1. Les cookies et sessions du navigateur pour prendre le contrôle de comptes sans ressaisir les mots de passe.
2. Les identifiants enregistrés pour accéder aux e-mails, au stockage cloud et aux plateformes d’échange.
3. Les données du gestionnaire de mots de passe qui peuvent ouvrir l’accès à un ensemble plus large de services.
4. Les captures d’écran et documents susceptibles d’exposer des phrases de récupération, des clés API ou des informations de portefeuille.

Pour les détenteurs de crypto, c’est pourquoi la sécurité du terminal compte autant que la sécurité on-chain. La protection d’un portefeuille ne dépend pas seulement de l’application de wallet ; elle dépend aussi de l’environnement dans lequel ce wallet est utilisé.

RevStealer cherche aussi à se cacher des analystes

D’après l’étude, le malware effectue des vérifications sur la mémoire, le nombre de cœurs CPU, les noms d’utilisateur, les noms d’hôte et le matériel graphique afin de déterminer s’il s’exécute sur une véritable machine d’utilisateur. S’il détecte des signes de débogage ou de virtualisation, il peut s’arrêter ou réduire son activité malveillante.

C’est important, car cela permet au malware d’éviter une détection précoce dans les bacs à sable et les environnements d’analyse. En pratique, cela signifie qu’un échantillon peut sembler inoffensif lors de l’inspection, puis s’activer pleinement sur une vraie machine victime.

C’est une autre raison pour laquelle les faux installateurs sont si efficaces : ce ne sont pas des attaques de ransomware bruyantes. Ce sont des voleurs d’identifiants silencieux, qui attendent d’avoir suffisamment de données pour devenir utiles à l’attaquant.

La leçon sécurité crypto : faites confiance à la source, pas à la promesse

La promesse d’une application d’IA « premium » gratuite est presque toujours un piège. Dans le monde crypto, le même avertissement s’applique aux outils de portefeuille, aux bots de trading, aux tableaux de bord d’airdrop et aux extensions de navigateur « spéciales ». Si le chemin de téléchargement n’est pas officiel, le risque n’a rien de théorique.

Les signaux d’alerte à prendre au sérieux :

• Un téléchargement proposé en dehors du site officiel de l’éditeur
• Des promesses de logiciels « Free Pro », « cracked » ou « unlocked »
• Des installateurs partagés via des dépôts ou des forums aléatoires
• Des modules additionnels, scripts ou exécutables non signés inclus dans le lot
• Des demandes de désactivation des outils de sécurité pendant l’installation

Pour des conseils plus généraux sur l’hygiène face au phishing et à l’ingénierie sociale, les recommandations de la CISA sur le phishing ainsi que son initiative Secure Our World offrent une excellente liste de contrôle pratique pour les particuliers et les équipes.

Comment les utilisateurs crypto peuvent réduire immédiatement leur exposition

Si vous utilisez Windows pour tout ce qui touche aux actifs numériques, quelques habitudes peuvent réduire fortement le risque :

1. Limitez les logiciels d’IA et de portefeuille aux sources officielles

Téléchargez uniquement depuis le site officiel ou une boutique d’applications vérifiée. Évitez les miroirs, les versions « portables » et les liens provenant des réseaux sociaux.

2. Séparez vos activités crypto de votre navigation quotidienne

Utilisez un profil de navigateur dédié, voire un appareil dédié, pour l’accès aux exchanges, à la DeFi et à la gestion de portefeuille. Moins il y a d’extensions, moins il y a d’occasions de vol de jetons.

3. Réévaluez votre modèle de gestionnaire de mots de passe

Un gestionnaire de mots de passe reste utile, mais ses données deviennent extrêmement sensibles si le point de terminaison est compromis. Protégez le mot de passe principal, activez une MFA solide et ne modifiez les mots de passe critiques qu’à partir d’un appareil sain si vous soupçonnez une infection.

4. Conservez vos données de récupération hors ligne

Les phrases de récupération, les partages de sauvegarde et les notes de secours ne devraient jamais se trouver dans des captures d’écran, des notes cloud ou des dossiers du bureau.

5. Restez méfiant face à l’urgence

Les campagnes malveillantes jouent souvent sur la pression temporelle : offre limitée, bêta limitée, invitation limitée, déverrouillage limité. Cette pression fait partie de l’attaque.

6. Utilisez une signature protégée par du matériel pour les montants significatifs

Si la compromission d’un portefeuille commence sur un ordinateur de bureau, garder les clés privées hors de cette machine peut empêcher l’attaquant de les extraire directement.

Où intervient un portefeuille matériel

Un portefeuille matériel ne fait pas disparaître le phishing, mais il change le coût d’un échec. Si votre ordinateur est infecté par un voleur comme RevStealer, conserver vos clés privées hors ligne peut empêcher qu’une compromission au niveau du navigateur ne se transforme en perte totale d’actifs.

C’est pourquoi de nombreux détenteurs de longue date et utilisateurs actifs de la blockchain privilégient un portefeuille matériel pour leurs fonds de plus grande valeur. Un appareil comme OneKey peut aider à isoler les clés privées d’un PC infecté et rendre la validation des transactions plus délibérée, ce qui est particulièrement important lorsque l’environnement de bureau ne peut plus être considéré comme fiable.

L’idée clé est simple : si votre ordinateur portable est l’endroit où vous naviguez et tradez, il ne devrait pas être aussi l’endroit où résident vos clés les plus sensibles.

Réflexion finale

La campagne de faux Claude Desktop est une étude de cas utile sur l’évolution du vol crypto. Les attaquants n’ont plus besoin de casser les blockchains ; il leur suffit de compromettre les points d’entrée où les utilisateurs se connectent, signent et stockent leurs données de récupération.

Pour les détenteurs de crypto, la meilleure défense est une défense en couches : n’installer qu’à partir de sources fiables, réduire l’exposition du navigateur, conserver les données de récupération hors ligne et transférer les fonds importants vers un stockage protégé par du matériel. Dans un paysage de menaces où des voleurs de données peuvent viser des dizaines de portefeuilles à la fois, cette discipline n’est plus facultative.