Fausse App Claude Cible Plus De 50 Portefeuilles Crypto

Imaginez ouvrir un fichier présenté comme une version bureau gratuite du modèle d’intelligence artificielle le plus convoité du moment. Aucune fenêtre utile n’apparaît. Le disque travaille un instant, puis plus rien. Sur un ordinateur Windows, ce silence n’est pas un simple plantage. D’après un rapport publié fin août 2026 par le laboratoire Morphisec Threat Labs, il peut cacher RevStealer, un voleur d’informations conçu pour passer au crible plus de cinquante portefeuilles crypto, une douzaine de gestionnaires de mots de passe et les bases des navigateurs avant de s’effacer.

Quand une fausse Claude devient un piège à wallets

Le 31 août 2026, les chercheurs ont décrit une campagne déjà en circulation, puis relayée le 1er septembre par plusieurs médias spécialisés. Le leurre le plus visible s’appelle Claude Opus 5 Free Desktop. Il reprend l’identité visuelle d’Anthropic et promet un accès gratuit à un modèle payant. Le paquet pèse environ 101 mégaoctets. Dedans, une application Electron 64 bits. Dehors, l’attente d’une interface conversationnelle. À l’intérieur, un chargeur qui prépare une charge utile native chiffrée.

Avant le costume Claude, le même outillage circulait via des dépôts GitHub et des sites de triches pour jeux vidéo. Le rebranding n’est pas un détail marketing. Il capte une audience plus large, plus pressée, parfois plus fortunée. Les personnes qui cherchent un raccourci vers un outil d’IA haut de gamme téléchargent un archive non vérifiée. Elles croient installer un client. Elles livrent un poste de travail.

Chaque étape est conçue autour de l’hypothèse que quelque chose observe.

Shmuel Uzan, Morphisec

Ce que raconte vraiment le rapport du 31 août

Le récit technique n’est pas celui d’un virus bruyant. C’est celui d’un vol en rafale. Le programme collecte, chiffre, envoie, puis disparaît. Il n’installe pas de tâche planifiée classique. Il ne s’accroche pas au démarrage Windows comme une famille entière de stealer plus anciens. Cette absence de persistance déconcerte les équipes qui cherchent un indicateur durable. Quand l’alerte arrive, les jetons de session et les matériaux de portefeuille peuvent déjà être partis.

Morphisec insiste sur la mise en scène. Le logiciel n’ouvre pas de fenêtre visible une fois lancé. Le chargeur déchiffre une ressource AES-256-CBC, écrit un fichier au nom aléatoire dans le dossier AppData, puis exécute la charge sans interface. En parallèle, il tente d’ajouter le dossier AppData à la liste d’exclusions de Microsoft Defender. Moins de traces. Moins de friction. Plus de temps pour extraire des données sensibles.

Pourquoi le nom Claude fonctionne aussi bien

Les outils d’IA générative sont devenus un réflexe professionnel. Dans la crypto, ils servent à relire un whitepaper, à synthétiser un rapport on-chain, à rédiger une note de risque, à déboguer un script. Une version bureau « gratuite » d’un modèle cher parle à deux envies en même temps : la productivité et l’économie. Les opérateurs n’ont pas besoin d’inventer un univers. Ils empruntent une marque déjà désirée.

GitHub aggrave le tableau. Un dépôt public donne une apparence de transparence. Des étoiles, une description soignée, un fichier README qui imite le ton d’un projet open source, et le doute recule. Les campagnes précédentes misaient sur des films piratés ou des triches de jeu. Ici, la cible n’est plus seulement le loisir. C’est le poste de travail de quelqu’un qui gère déjà des comptes, des clés, des sessions ouvertes.

Le décalage entre l’attente et le résultat est volontaire. L’utilisateur relance, relit la page de téléchargement, se dit que le client est instable. Pendant ce temps, la machine a déjà subi une série de tests internes. Si elle passe, la collecte commence. Si elle échoue, le chargeur n’expose même pas la charge. Les analystes se retrouvent alors avec un paquet volumineux et peu de comportement malveillant observable.

Le parcours du fichier, de l’archive au dossier AppData

Le scénario type commence par une recherche. Quelqu’un tape le nom d’un modèle, ajoute « desktop », « gratuit », « Windows ». Un lien mène vers un projet ou un site miroir. L’archive se télécharge. L’extraction révèle une application Electron, format désormais banal pour des outils légitimes. Cette banalité est une arme. Beaucoup d’équipes autorisent Electron parce qu’elles l’utilisent déjà pour des clients internes.

Une fois lancé, le chargeur ne se comporte pas comme un installateur classique. Il lit une ressource chiffrée. Il vérifie la machine. Il décide. S’il poursuit, il écrit un binaire natif dans AppData sous un nom qui ne dit rien. L’absence d’import table standard complique encore la lecture statique. Les appels vers Windows passent par des résolutions dynamiques. Morphisec a aussi relevé quatorze enveloppes d’appels système indirects, pensées pour éviter des fonctions exportées trop surveillées.

Cette architecture n’est pas gratuite en complexité. Elle coûte du temps de développement. Elle suppose une connaissance fine des produits de sécurité. Elle révèle une intention : rester discret le temps d’une collecte courte, pas occuper la machine pendant des mois. Dans l’écosystème crypto, quelques minutes suffisent. Un cookie de session valide, une phrase de récupération mal stockée, un fichier de wallet local, et le préjudice n’a plus besoin d’un accès persistant.

Les contrôles qui filtrent les labos et les machines virtuelles

RevStealer ne se jette pas sur le premier processeur venu. Le chargeur exige au moins 2 Go de mémoire physique, deux cœurs logiques et un adaptateur graphique reconnu. Ces seuils éliminent une partie des bacs à sable pauvres en ressources. Ils ne prouvent pas qu’un humain est derrière l’écran. Ils réduisent pourtant le nombre d’environnements d’analyse automatisés trop dépouillés.

S’ajoutent des comparaisons de nom d’hôte et de nom d’utilisateur avec une liste noire associée à des systèmes de recherche. Un test de timing mesure le délai autour d’une instruction de débogage JavaScript. Si l’exécution pause plus d’une centaine de millisecondes, la table de chaînes encodées est effacée. Autrement dit, poser un point d’arrêt trop visible peut détruire précisément ce que l’analyste voulait lire.

La phase native enchaîne encore une dizaine de contrôles. Ils alimentent un score anti-machine virtuelle pondéré. La configuration linguistique est aussi examinée. Le programme s’arrête sur des systèmes réglés en russe, ukrainien et plusieurs langues d’Asie centrale. Ce filtre géographique n’est pas nouveau dans le crime informatique. Il reste un signal : les opérateurs choisissent leurs victimes et évitent certains territoires.

Dernier obstacle pour l’automatisation : une fenêtre de type CAPTCHA. Elle demande une interaction avant de continuer. Un pipeline qui exécute le fichier sans souris ni regard humain bute. Un utilisateur pressé, lui, clique. La différence d’expérience décide qui reçoit la charge complète.

Ce que le malware cherche une fois la machine acceptée

Sur un poste jugé « sain », la collecte devient large. Morphisec a confirmé le parcours des bases de navigateurs, des clés de chiffrement locales et du stockage d’extensions. La liste couvre le Gestionnaire d’identification Windows, douze gestionnaires de mots de passe, plus de cinquante portefeuilles crypto et les cookies de session. Ce n’est pas un scoop isolé. C’est le catalogue standard d’un infostealer moderne, poussé plus loin dans l’évitement.

Le programme ne s’arrête pas aux wallets. Il cherche des configurations VPN, des identifiants d’accès distant, le contenu du presse-papiers, des données d’applications de messagerie, certains documents, des captures d’écran, des lanceurs de jeux et des profils OBS. Chaque source alimente un enregistrement chiffré et typé, puis part vers le serveur de commande. L’opérateur reçoit un paquet déjà structuré, pas un fatras de fichiers bruts.

Les cookies méritent une parenthèse. Un compte protégé par double authentification n’est pas magiquement hors d’atteinte si une session déjà validée circule. Réutiliser le cookie peut suffire. Pas besoin du mot de passe. Pas besoin du second facteur. Dans les échanges, les consoles d’administration, les plateformes de trading et les outils internes, cette réalité transforme un vol de navigateur en accès métier.

Quand une session a déjà passé l’authentification, le cookie peut remplacer le mot de passe et le second facteur.

Synthèse des analyses citées sur les voleurs de sessions

Portefeuilles, phrases et fichiers locaux : le vrai butin

Plus de cinquante cibles liées aux cryptomonnaies, ce n’est pas un chiffre décoratif. Il dit que les opérateurs ne parient pas sur un seul client. Extensions de navigateur, applications de bureau, fichiers de portefeuille, parfois des traces laissées par des outils de développement : tout ce qui ressemble à une clé ou à une session mérite d’être lu. Un investisseur prudent peut avoir un hardware wallet et, sur le même PC, une extension encore déverrouillée.

Le presse-papiers reste un classique. Une adresse collée, une phrase de récupération recopiée « juste une seconde », un mot de passe transféré d’un coffre vers un formulaire : ces gestes durent moins qu’une notification. Un stealer n’a pas besoin de comprendre Bitcoin ou Solana. Il a besoin de reconnaître un motif, un chemin de fichier, un nom d’extension.

Les documents sélectionnés et les captures d’écran élargissent encore la prise. Une photo d’écran de console, un export CSV, une note intitulée « seed backup » dans un dossier Documents, une configuration OBS qui révèle une activité publique : chaque élément aide à prioriser la victime. Le crime organisé n’aime pas seulement les secrets. Il aime le contexte.

Un serveur de repli caché dans un contrat Polygon

Quand le serveur principal devient indisponible, RevStealer peut récupérer une adresse alternative via un contrat intelligent sur Polygon. L’idée n’est pas nouvelle dans certaines familles de malware, mais elle reste efficace. Changer d’infrastructure sans reconstruire et redistribuer tout le paquet allonge la vie d’une campagne. Bloquer un nom de domaine ne suffit plus si une source on-chain fournit le prochain point de contact.

Pour les défenseurs, cela impose de regarder aussi la chaîne. Surveiller uniquement le trafic HTTP classique laisse un angle mort. Un contrat public peut paraître anodin. Il devient un carnet d’adresses pour opérateurs. La transparence de la blockchain, souvent présentée comme un atout civique, sert ici de canal de résilience criminelle.

Cette bascule vers Polygon dit aussi quelque chose du coût. Un réseau aux frais relativement bas permet des mises à jour fréquentes. Les opérateurs n’ont pas besoin d’un budget colossal pour publier une nouvelle destination. Ils ont besoin d’une routine. Le malware, lui, n’a besoin que de savoir où lire.

Pas de persistance, et c’est précisément le problème

Beaucoup de guides de réponse à incident commencent par chercher la persistance : clé de registre, dossier de démarrage, tâche planifiée, service. RevStealer refuse ce script. Il joue la carte de l’éclair. Collecte. Transmission. Suppression. Morphisec parle d’une « courte rafale de vol ». L’image est juste. Le dégât n’est pas un squatteur qui reste. C’est un cambriolage qui referme la porte.

Les produits de détection qui misent sur le comportement long perdent des minutes précieuses. Une alerte tardive décrit un poste déjà vidé de ses sessions utiles. Restaurer l’image disque ne récupère pas un cookie déjà réutilisé ailleurs. Révoquer des accès, tourner des clés, invalider des sessions : voilà le travail réel, et il commence trop tard si l’on attend un implant durable.

Cette stratégie change aussi la psychologie de la victime. Pas de rançon à l’écran. Pas de fond d’écran modifié. Pas de fichier « lisez-moi ». Juste une appli qui n’a pas marché. Beaucoup d’utilisateurs passent à autre chose. Les opérateurs comptent sur cette banalité.

La même recette, d’autres affiches : films, réunions, faux Ledger

Le déguisement Claude s’inscrit dans une série. En août, de faux téléchargements du film The Odyssey ont servi à pousser Lumma Stealer via des exécutables Windows présentés comme des versions 1080p, WEBRip ou Blu-ray. Bitdefender décrivait alors une collecte de données de wallets, de mots de passe enregistrés, d’informations de paiement, de cookies et d’identifiants de bureau à distance. Le fichier culturel remplace le fichier productivité. Le but reste le coffre.

En juillet, une autre campagne a utilisé des pages de réunion ressemblantes et des comptes Telegram compromis pour viser des travailleurs du secteur crypto. Les opérateurs liés à BlueNoroff, rattachés à la Corée du Nord dans les attributions publiques, scrutaient les navigateurs à la recherche de wallets Ethereum et Solana, puis présentaient de fausses mises à jour Zoom ou Microsoft Teams. JUMPSEC a noté une couverture Windows et macOS. Côté Windows, un chargeur PowerShell ajoutait une exclusion Defender. Côté macOS, la collecte incluait des informations système et des clés maîtres Chrome dans le trousseau Apple.

Kaspersky a décrit au même moment OkoBot, un cadre modulaire aux faux écrans de récupération, journalisation clavier et surveillance du presse-papiers. Une vingtaine de modules pouvaient capter des phrases de récupération, des mots de passe et des adresses copiées. Des utilisateurs touchés ont été observés au Brésil, au Vietnam, au Canada, au Mexique et en Turquie. Le composant SeedHunter imitait une interface associée à Ledger et Trezor. La phrase saisie partait chez l’opérateur. Un autre module photographiait les fenêtres de wallet ouvertes.

• Faux films : exécutable déguisé en Rip, vol large de credentials.
• Fausses réunions : leurre Zoom ou Teams, exclusion Defender, double plateforme.
• Faux écrans hardware : phrase de récupération tapée dans une interface inventée.
• Fausse appli d’IA : Electron silencieux, charge chiffrée, vol en rafale.

Washington a déjà chassé un cousin : LummaC2

Pour les lecteurs aux États-Unis, le dossier RevStealer arrive après une action fédérale contre LummaC2, autre service de vol d’informations utilisé pour credentials et données de portefeuilles. En mai 2025, le département de la Justice a indiqué qu’au moins 1,7 million d’incidents de vol d’informations y étaient liés. Cinq domaines ont été saisis. Microsoft a déclaré avoir aidé à perturber environ 2 300 noms de domaine de l’infrastructure.

Matthew Galeotti, alors à la tête de la division pénale, résumait l’usage : vol d’identifiants pour faciliter virements frauduleux et vols de cryptomonnaies. Le malware se vendait sur des forums et un canal Telegram. Des clients achetaient l’accès et lançaient leurs propres campagnes. Les redirections judiciaires ont envoyé les cinq domaines principaux vers des pages contrôlées par les autorités, avec l’appui de partenaires nationaux et étrangers.

Cette séquence n’efface pas RevStealer. Elle rappelle que le marché des stealer est un commerce. Quand une marque d’outil tombe, une autre prend le relais, change de leurre, change de canal de distribution. L’IA n’est que la vitrine du trimestre. Le produit, lui, reste le dossier de session et la clé.

Des malwares comme LummaC2 sont déployés pour voler des identifiants chez des millions de victimes et faciliter virements frauduleux et vols de cryptomonnaies.

Matthew Galeotti, département de la Justice des États-Unis, mai 2025

Electron, Defender et le mythe du fichier « trop gros pour être dangereux »

Cent un mégaoctets, cela rassure à tort. Beaucoup associent encore le malware à un petit exécutable nerveux. Un client Electron légitime est lourd. Les attaquants l’ont compris. Le poids imite le logiciel réel. Il noie aussi la charge dans une mer de bibliothèques. L’analyste pressé voit un framework connu. L’utilisateur voit un « vrai » programme.

L’exclusion Defender sur AppData n’est pas une ruse isolée. On l’a vue dans d’autres chargeurs. Elle vise le répertoire où vivent caches, configurations et, désormais, le binaire déchiffré. Demander à l’antivirus d’ignorer précisément la zone de travail du malware est d’une ironie cruelle. Sur un poste où l’utilisateur a des droits élevés, la demande peut passer. Sur un poste contraint, elle échoue. D’où l’intérêt des comptes limités, encore trop rares chez les particuliers qui tradent depuis leur machine quotidienne.

Les appels système indirects complètent le tableau. Surveiller uniquement les API exportées les plus connues revient à regarder la porte d’entrée pendant que quelqu’un passe par une fenêtre latérale. Les équipes de détection doivent corréler écriture dans AppData, tentative d’exclusion, résolution dynamique et trafic chiffré sortant. Un seul de ces signaux peut être bénin. Ensemble, ils dessinent une intention.

Ce que cela change pour un trader, un fond ou une équipe produit

Un particulier qui garde une extension de wallet sur le même profil Chrome que sa messagerie professionnelle mélange deux univers. RevStealer n’a pas besoin de comprendre cet mélange. Il archive les deux. Un fond qui autorise l’installation de « petits outils d’IA » hors catalogue expose un parc entier à un leurre de saison. Une équipe produit qui teste des démos GitHub sur une machine ayant encore des variables d’environnement et des fichiers .env commet l’erreur la plus banale et la plus coûteuse.

Les cookies de consoles cloud, de tableaux de bord d’échange, de gestionnaires de relais, de plateformes de signature de transactions, valent parfois plus qu’un fichier de wallet vide. L’accès de session ouvre des retraits, des changements d’adresse de destination, des invitations à des coffres partagés. Le malware ne « pirate pas la blockchain ». Il pirate l’humain et le navigateur qui parlent à la blockchain.

Les profils OBS et lanceurs de jeux peuvent sembler hors sujet. Ils ne le sont pas pour un créateur qui commente des marchés en direct, ni pour un community manager qui stream. Une capture d’écran d’une interface de trading, même floue, aide à qualifier la cible. Les opérateurs trient. Ils revendent. Ils attaquent ensuite par un autre canal, plus personnalisé.

Les gestes concrets après un téléchargement douteux

Si une application « Claude gratuite » a été lancée, l’hypothèse de travail n’est pas « peut-être rien ». C’est « session potentiellement brûlée ». Il faut isoler la machine du réseau, inventorier ce qui a été ouvert récemment, et considérer comme suspects les coffres logiciels, les extensions, les clients de messagerie et les outils d’accès distant. Le nettoyage antivirus seul ne révoque rien chez les tiers.

Ensuite vient la révocation. Sessions de navigateurs. Jetons d’API. Appareils de double authentification à revérifier. Adresses de destination sur les plateformes. Clés API d’échange avec droits de retrait. Phrases et fichiers de wallets logiciels à traiter comme compromis s’ils ont vécu sur ce poste. Un hardware wallet non déverrouillé au moment de l’infection reste plus robuste, à condition qu’aucune phrase n’ait été tapée ou photographiée sur la machine.

Les équipes doivent aussi regarder AppData, les exclusions Defender inhabituelles, les binaires au nom aléatoire, les journaux de processus courts sans fenêtre. L’absence de persistance n’est pas une bonne nouvelle. C’est une invitation à chercher le trafic sortant et les artefacts de quelques minutes, pas les racines de plusieurs semaines.

Prévenir sans attendre d’être la preuve d’un rapport

La règle la plus ingrate reste la meilleure : les outils d’IA, comme les clients de trading, s’installent depuis des canaux officiels. Un dépôt GitHub improvisé n’est pas un canal officiel, même s’il copie les couleurs d’une marque. Un site qui promet la version payante sans payer vend autre chose que de l’accès modèle. Il vend votre poste.

Séparer les usages aide. Un navigateur dédié aux wallets, sans extensions superflues. Un compte Windows sans privilèges quotidiens d’administration. Une machine de « laboratoire » pour les expérimentations GitHub, sans phrases, sans cookies d’échange, sans VPN d’entreprise. Ces séparations ennuient. Elles coûtent moins cher qu’un retrait irréversible.

Le hardware wallet n’absout pas les mauvaises habitudes. Il réduit la surface si la phrase n’est jamais saisie sur le PC et si les montants sont confirmés sur l’écran de l’appareil. Il ne protège pas un cookie d’exchange. Il ne protège pas un gestionnaire de mots de passe déverrouillé. Il ne protège pas un document « backup » oublié dans Téléchargements.

Enfin, méfiance envers les fenêtres qui demandent une interaction absurde au premier lancement d’un soi-disant client d’IA. Un CAPTCHA interne avant même d’afficher le produit n’est pas un gage de sérieux. Dans cette campagne, c’est un filtre anti-analyse. L’humain qui clique « pour que ça marche » fait exactement ce que le labo automatisé ne fait pas.

Pourquoi les leurres d’IA vont se multiplier

La demande pour des modèles chers explose. Les directions veulent de la productivité. Les indépendants veulent le même outil sans l’abonnement. Cet écart crée un marché gris de « versions desktop gratuites », de « cracks », de « builds communautaires ». Les opérateurs n’ont qu’à suivre la file d’attente. Plus la marque est désirable, plus le taux de clic grimpe.

La crypto reste une cible de choix parce que le règlement d’un vol y est souvent définitif à l’échelle humaine. Pas d’opposition de carte aussi simple que sur un réseau bancaire traditionnel. Des passerelles existent, des enquêtes aussi, mais le temps joue contre la victime. Un stealer qui s’efface après dix minutes colle à cette économie du fait accompli.

Les campagnes de 2025 et 2026 montrent une industrialisation. On recycle un chargeur, on change l’affiche, on ajoute un test anti-VM, on branche un contrat pour le repli. Le public voit un nouveau nom. Les laboratoires voient une lignée. Entre les deux, le récit médiatique doit tenir les deux bouts : l’actualité d’un leurre Claude, et la continuité d’un commerce de données volées.

Ce que les chercheurs regarderont ensuite

Plusieurs questions restent ouvertes après le rapport Morphisec. Quelle est la taille réelle de la base de victimes, au-delà des échantillons analysés ? D’autres marques d’IA seront-elles collées sur le même Electron ? Le filtre linguistique évoluera-t-il ? Le contrat Polygon est-il unique ou déjà relayé par d’autres adresses ? Les réponses arriveront par morceaux, comme toujours dans ce métier.

Il faudra aussi mesurer l’efficacité des exclusions Defender et des appels indirects face aux versions récentes des produits de sécurité. Chaque ruse a une durée de vie. Chaque durée de vie suffit à une rafale. Le jeu n’est pas d’éliminer définitivement la technique. Il est de raccourcir la fenêtre pendant laquelle elle rapporte.

Les plateformes de distribution portent une part du débat. GitHub, les miroirs de logiciels, les forums de triches, les chaînes qui promettent des outils payants : autant de portes. Modérer après coup n’efface pas un binaire déjà copié. L’éducation des utilisateurs reste ingrate, répétitive, indispensable. Un titre rassurant au-dessus d’un bouton de téléchargement bat encore trop souvent un avertissement technique.

Une leçon plus large que Claude

RevStealer n’est pas seulement l’histoire d’une marque détournée. C’est le portrait d’un vol adapté à 2026 : logiciel lourd pour paraître légitime, silence à l’écran, examens anti-labo, catalogue immense de coffres, canal de repli on-chain, sortie sans laisser de locataire. L’actualité du 1er septembre fixe un nom sur cette méthode. Elle ne la clôt pas.

Dans les salles de marché comme dans les salons, le réflexe utile n’est pas la panique. C’est la séparation des mondes. L’IA d’un côté. Les clés de l’autre. Les expérimentations sur une machine jetable. Les sessions d’échange traitées comme de l’argent liquide posé sur une table. Les rapports de laboratoires lus avant les pages qui promettent un modèle premium sans facture.

Si une application se prétend Claude, n’affiche rien et réclame pourtant de vivre dans AppData, le mystère n’en est plus un. Le produit n’était pas un assistant. C’était une collectrice. Et dans cet intervalle minuscule entre le double-clic et le silence, plus de cinquante familles de portefeuilles attendaient d’être lues, emballées, envoyées, puis oubliées par un programme qui s’efface pour mieux laisser la victime croire qu’il ne s’est rien passé.

Repères pour suivre la suite de l’affaire

Les prochains jours diront si d’autres dépôts reprennent le thème Opus, si des variantes macOS apparaissent, si des échanges publient des alertes internes. Les faits déjà établis suffisent à agir. Le leurre existe. Le chargeur chiffre. Les filtres trient. La collecte est large. La sortie est courte. Le repli peut passer par Polygon. Le nom change. La faim, non.

Garder cette séquence en tête évite de réduire l’épisode à une curiosité de plus dans le fil d’actualité. Une fausse application d’intelligence artificielle n’attaque pas « l’IA ». Elle attaque le poste de travail de celles et ceux qui, précisément, croient gagner du temps. Dans la crypto, le temps gagné sur un modèle et le temps perdu après un vol n’ont jamais eu la même valeur.