Falso aplicativo Claude Desktop espalha malware RevStealer, colocando mais de 50 carteiras de criptomoedas em risco

A mais recente onda de malware para Windows voltado a usuários de cripto tem uma forma conhecida: uma marca confiável, um download tentador e uma carga oculta projetada para roubar tudo o que a vítima tiver salvo no navegador. Neste caso, os atacantes estão usando um instalador falso do Claude para desktop para distribuir o RevStealer, uma família de malware voltada a roubo de dados que parece ter sido criada para coletar credenciais, dados de sessão e informações relacionadas a carteiras em escala.

Para quem atua no universo cripto, isso não é apenas mais uma história genérica de phishing. É um lembrete de que a ameaça mais perigosa muitas vezes não é um ataque direto à blockchain, mas ao dispositivo onde você navega, aprova, assina e gerencia ativos.

Por que um app de IA falso é uma isca tão eficaz para cripto

Ferramentas de IA já fazem parte da rotina de traders, fundadores, analistas e desenvolvedores. Isso as torna uma isca ideal. Uma versão de desktop “gratuita” e falsa de um assistente popular reduz a desconfiança, porque a vítima acredita estar instalando um software de produtividade, e não abrindo a porta para um ladrão de credenciais.

Esse padrão acompanha uma tendência mais ampla no cibercrime: os atacantes estão cada vez mais embutindo malware em softwares que parecem úteis, atuais ou exclusivos. Instaladores no estilo “Free Pro”, “cracked” e “desktop mod” continuam sendo iscas comuns porque exploram curiosidade e urgência ao mesmo tempo.

Se você quer o produto real, comece sempre pelo site oficial do Claude em claude.ai, e não por espelhos de terceiros, republicações ou pacotes de download.

O que o RevStealer está tentando roubar

Pesquisadores de segurança afirmam que esse malware foi projetado para coletar uma ampla gama de dados sensíveis, incluindo:

• Nomes de usuário e senhas do navegador
• Cookies e tokens de sessão
• Dados de gerenciadores de senha
• Configurações de VPN e acesso remoto
• Dados de aplicativos de mensagens
• Capturas de tela
• Documentos selecionados
• Informações ligadas a mais de 50 carteiras de criptomoedas

Essa combinação é especialmente perigosa para usuários de cripto porque a invasão raramente começa com o vazamento direto de uma chave privada. Com mais frequência, o atacante primeiro rouba sessões do navegador, dados de extensões de carteira, logins em nuvem ou material de recuperação. A partir daí, pode avançar para contas em exchanges, painéis de negociação, e-mail e gerenciadores de senha.

Uma boa referência para entender esse modelo de ameaça é a visão geral da Microsoft sobre malware, que explica como os softwares maliciosos modernos costumam priorizar roubo, persistência e furtividade, em vez de causar interrupções evidentes.

Por que carteiras de cripto são um alvo tão valioso

Usuários de cripto tendem a concentrar ações de alto valor em um único ponto de acesso: o mesmo notebook pode guardar logins de exchanges, painéis de blockchain, extensões de carteira, backups de seed e aplicativos de mensagens usados para negociações ou trabalho em comunidade. Essa concentração torna uma invasão no Windows desproporcionalmente danosa.

Mesmo quando as chaves privadas não são roubadas diretamente, os atacantes ainda podem explorar:

1. Cookies e sessões do navegador para tomar contas sem precisar redigitar senhas.
2. Credenciais salvas para acessar e-mail, armazenamento em nuvem e exchanges.
3. Dados do gerenciador de senhas que podem desbloquear um conjunto maior de serviços.
4. Capturas de tela e documentos que podem expor frases de recuperação, chaves de API ou informações de portfólio.

Para quem possui cripto, é por isso que a segurança do endpoint importa tanto quanto a segurança on-chain. A proteção da carteira não depende apenas do app da carteira; depende também do ambiente em que essa carteira é usada.

O RevStealer também tenta se esconder dos analistas

De acordo com a pesquisa, o malware inclui verificações de memória, núcleos de CPU, nomes de usuário, hostnames e hardware gráfico para decidir se está em uma máquina real de usuário. Se detectar sinais de depuração ou virtualização, pode interromper ou reduzir o comportamento malicioso.

Isso importa porque ajuda o malware a evitar detecção precoce em sandboxes e ambientes de análise. Na prática, significa que uma amostra pode parecer inofensiva durante a inspeção e só ser totalmente ativada em um dispositivo real de vítima.

Essa é mais uma razão pela qual instaladores falsos são tão eficazes: eles não são explosões barulhentas de ransomware. São coletores silenciosos de credenciais que esperam até ter dados suficientes para serem úteis ao atacante.

A lição de segurança para cripto: confie na origem, não na promessa

A promessa de um app de IA “premium grátis” quase sempre é uma armadilha. No mundo cripto, o mesmo alerta vale para ferramentas de carteira, bots de negociação, painéis de airdrop e extensões de navegador “especiais”. Se o caminho de download não for oficial, o risco não é hipotético.

Os usuários devem tratar estes sinais como alertas vermelhos:

• Um download oferecido fora do site oficial do fornecedor
• Promessas de software “Free Pro”, “cracked” ou “unlocked”
• Instaladores compartilhados por repositórios ou fóruns aleatórios
• Complementos, scripts ou executáveis sem assinatura incluídos no pacote
• Pedidos para desativar ferramentas de segurança durante a instalação

Para uma higiene mais ampla contra phishing e engenharia social, o guia de phishing da CISA e a iniciativa Secure Our World oferecem um checklist prático e sólido para consumidores e equipes.

Como usuários de cripto podem reduzir a exposição agora

Se você usa Windows para qualquer atividade ligada a ativos digitais, alguns hábitos podem reduzir bastante o risco:

1. Mantenha softwares de IA e de carteira limitados a fontes oficiais

Baixe apenas do site oficial ou de uma loja de aplicativos verificada. Evite espelhos, builds “portáteis” e links de redes sociais.

2. Separe sua atividade cripto da navegação do dia a dia

Use um perfil de navegador dedicado ou até mesmo um dispositivo dedicado para acessar exchanges, DeFi e gerenciar carteiras. Menos extensões significa menos oportunidades para roubo de tokens.

3. Revise seu modelo de uso do gerenciador de senhas

Um gerenciador de senhas continua sendo útil, mas seus dados ficam altamente sensíveis se o endpoint for comprometido. Proteja a senha mestra, habilite MFA forte e atualize senhas críticas apenas a partir de um dispositivo limpo, se suspeitar de infecção.

4. Mantenha o material de recuperação offline

Frases seed, shares de recuperação e notas de backup nunca devem ficar em capturas de tela, notas na nuvem ou pastas da área de trabalho.

5. Desconfie da urgência

Campanhas de malware costumam pressionar com senso de urgência: oferta limitada, beta limitado, convite limitado, desbloqueio limitado. Essa pressão faz parte do ataque.

6. Use assinatura com suporte de hardware para valores relevantes

Se a invasão da carteira começar no desktop, manter as chaves privadas fora dessa máquina pode impedir que o atacante as extraia diretamente.

Onde uma carteira de hardware se encaixa

Uma carteira de hardware não faz o phishing desaparecer, mas muda o custo do fracasso. Se o seu computador estiver infectado por um stealer como o RevStealer, manter as chaves privadas offline pode ajudar a evitar que um comprometimento no navegador vire uma perda total de ativos.

É por isso que muitos detentores de longo prazo e usuários ativos on-chain preferem um fluxo com carteira de hardware para fundos de maior valor. Um dispositivo como a OneKey pode ajudar a isolar as chaves privadas de um PC infectado e tornar a aprovação de transações mais deliberada, o que é especialmente importante quando o ambiente de desktop já não pode ser totalmente confiável.

A ideia central é simples: se o seu laptop é o lugar onde você navega e negocia, ele não deveria ser também o lugar onde vivem suas chaves mais sensíveis.

Considerações finais

A campanha falsa do Claude para desktop é um bom estudo de caso sobre como o roubo no mundo cripto evoluiu. Os atacantes já não precisam quebrar blockchains; basta comprometer os endpoints onde os usuários fazem login, assinam e guardam dados de recuperação.

Para quem possui cripto, a melhor defesa é em camadas: instalar apenas de fontes confiáveis, reduzir a exposição no navegador, manter dados de recuperação offline e transferir fundos relevantes para armazenamento com suporte de hardware. Em um cenário de ameaça em que stealers podem mirar dezenas de carteiras de uma vez, essa disciplina já não é opcional.