RevStealer-Malware: Windows-Nutzer über gefälschte KI-Downloads gefährdet
Veröffentlicht am: 01.09.2026 um 17:22 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben Ende August eine Reihe neuer Bedrohungen für Windows-Nutzer identifiziert, die es gezielt auf sensible Zugangsdaten und Krypto-Vermögen abgesehen haben.
Im Zentrum der Warnungen stehen 19 bösartige Erweiterungen für die Browser Chrome und Edge sowie eine neue Infostealer-Malware namens „RevStealer“. Letztere nutzt gefälschte Downloads von KI-Software als Lockmittel, um Systeme zu infizieren und Daten aus Passwort-Managern sowie Krypto-Wallets zu entwenden.
Bösartige Browsererweiterungen mit tausenden Nutzern
Nach Erkenntnissen von Sicherheitsanalysten stehen insgesamt 19 Erweiterungen für Google Chrome und Microsoft Edge in Verbindung mit betrügerischen Kampagnen, die gefälschte Browser-Updates vortäuschen. Diese Erweiterungen seien in der Lage, Anmeldedaten zu stehlen, Krypto-Wallets zu leeren und Nutzer mit weiteren gefälschten Update-Aufforderungen zu täuschen.
Besondere Aufmerksamkeit erregte dabei die Erweiterung mit dem Namen „Enable Right Click & Copy“. Diese sei von einem Bedrohungsakteur übernommen und nachträglich mit Schadfunktionen aktualisiert worden.
Bevor die Erweiterung am 14. August aus dem Store entfernt wurde, verzeichnete sie rund 70.000 Nutzer. Forschungsergebnisse des Sicherheitsunternehmens Socket untermauern den Zusammenhang zwischen diesen Erweiterungen und dem Diebstahl von Nutzerdaten sowie digitalen Vermögenswerten.
RevStealer nutzt KI-Hype für Infektionen
Parallel dazu beobachten Experten die Verbreitung der neuen Windows-Malware „RevStealer“. Die Schadsoftware wird über gefälschte GitHub-Projekte verbreitet, die vorgeben, eine kostenlose Desktop-Version der KI-Software „Claude Opus 5“ anzubieten. Technisch handelt es sich bei RevStealer um eine trojanisierte Electron-App.
Bevor die Malware ihre eigentliche Schadlast, eine mit AES-256-CBC verschlüsselte Payload, aktiviert, führt sie Anti-Sandbox-Prüfungen durch. Dabei kontrolliert das Programm, ob das infizierte System über mindestens 2 GiB RAM und 2 CPU-Kerne verfügt, um eine Analyse in geschlossenen Sicherheitsumgebungen zu erschweren.
Wer sich vor derartigen Angriffen auf sensible Zugangsdaten schützen möchte, sollte seine Passwörter niemals ungeschützt im Browser speichern. Dieser kostenlose Guide enthüllt, wie Sie mit KeePassXC die volle Kontrolle über Ihre digitalen Zugänge zurückgewinnen. KeePassXC-Bedienungsanleitung kostenlos herunterladen
Zudem versucht ein Loader, den AppData-Ordner des Nutzers zu den Ausnahmelisten des Microsoft Defenders hinzuzufügen, um einer Entdeckung zu entgehen.
Das Ziel von RevStealer ist laut Sicherheitsberichten der umfassende Datendiebstahl. Die Malware nimmt 51 verschiedene Krypto-Wallets sowie 11 Passwort-Manager ins Visier, darunter bekannte Dienste wie Bitwarden, 1Password, KeePass und LastPass.
Auch allgemeine Browserdaten und Dokumente werden exfiltriert. Die gestohlenen Daten werden in verschlüsselten Sätzen an einen C2-Server übertragen. Für den Fall, dass die Primärverbindung unterbrochen wird, verfügt die Malware über einen Fallback-Mechanismus via Polygon-Smart-Contract.
Angriffe auf KI-Sitzungen und Krypto-Zugangsdaten
Angesichts von über 4 Millionen gehackten Konten pro Quartal in Deutschland suchen viele Nutzer nach sichereren Alternativen zum klassischen Passwort. Erfahren Sie in diesem kostenlosen Report, wie die neue Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. wirksam vor Datenklau schützt. Gratis-Report: Sicher und passwortlos mit Passkeys
Neben RevStealer sind weitere Bedrohungen aktiv, die gezielt Nutzer des KI-Anbieters Anthropic ins Visier nehmen. Bekannte Malware-Stämme wie Vidar, Lumma, StealC und RedLine auf Windows-Systemen sowie Atomic Stealer auf Macs kopieren aktive Sitzungsdaten von Claude-Nutzern. Dadurch können Angreifer auf Konten zugreifen und Nutzungskontingente verbrauchen, ohne das Passwort kennen zu müssen.
Da es sich um den Diebstahl bestehender Sitzungen handelt, bietet auch eine Zwei-Faktor-Authentifizierung (2FA) in diesem speziellen Moment keinen Schutz.
Anthropic hat auf diese Vorfälle reagiert und unautorisierte Gebühren erstattet sowie betroffene Konten vorsorglich abgemeldet. Sicherheitsanalysten von Huntress wiesen zudem darauf hin, dass Angreifer gefälschte Google-Docs- und Claude.ai-Seiten verwenden, um Seed-Phrasen und private Schlüssel von Krypto-Wallets zu erlangen. Es gebe jedoch keine Hinweise darauf, dass die Systeme von Google oder Anthropic selbst kompromittiert wurden.
Branchenexperten raten betroffenen Nutzern dringend dazu, infizierte Geräte vollständig zu bereinigen, Passwörter zu ändern und Sicherheitsanwendungen auf dem neuesten Stand zu halten, bevor eine erneute Anmeldung bei kritischen Diensten erfolgt.
