Quattro moduli REVSTEALER disabilitano Windows Update e Defender
Elastic ha trovato quattro programmi collegati a REVSTEALER che disabilitano Windows Update e Defender, poi eseguono un crypto miner e persistono dopo che lo stealer si è cancellato.
Elastic Security Labs ha documentato quattro programmi Windows precedentemente non segnalati, collegati a REVSTEALER, un information stealer emergente, che rimangono attivi dopo che lo stealer si elimina. Uno di essi, LockAppHost, disattiva Windows Update e Microsoft Defender prima di eseguire un crypto miner. L'azienda di sicurezza ha pubblicato i suoi risultati e un white paper tecnico il 2 settembre, nominando i quattro programmi ProManager, WinUpdate, SoftManager e LockAppHost. REVSTEALER è venduto come infostealer commerciale da almeno febbraio 2026, quando il primo campione è apparso su VirusTotal.
Il programma principale REVSTEALER ruba password e cookie del browser, portafogli di criptovaluta, account di gioco, dati di messaggistica e file, poi segnala il completamento al suo server, si elimina e non lascia persistenza. I quattro moduli appena documentati si comportano diversamente: ciascuno si installa nel profilo dell'utente e vi rimane. Elastic ha recuperato i quattro programmi dalla stessa indagine di REVSTEALER e ha scoperto che condividono le sue tecniche di build, incluso lo stesso packer, la risoluzione delle funzioni in fase di esecuzione e l'uso di smart contract Polygon per la configurazione di backup. Lo stealer principale può anche scaricare ed eseguire eseguibili aggiuntivi tramite la riga di comando, ma Elastic non ha osservato nessuno dei quattro essere consegnato a un host REVSTEALER attivo, quindi il collegamento si basa su codice condiviso e contesto investigativo, non su un passaggio osservato. Elastic descrive i componenti come un insieme di attività e nota che sono eseguibili separati, non plugin caricati nello stealer stesso.
Ogni modulo ha una funzione distinta. ProManager ruba file di portafoglio ed estensioni di portafoglio del browser, visualizza contenuti controllati dall'attaccante sopra la finestra di un'applicazione di portafoglio e registra le password digitate o incollate in campi che identifica come input di password o passphrase. WinUpdate monitora gli appunti, sostituisce gli indirizzi di criptovaluta copiati con quelli dell'attaccante e raccoglie testo che sembra una frase di recupero del portafoglio; persiste tramite un'attività pianificata con una chiave di registro come fallback. SoftManager trasforma la macchina della vittima in un proxy inverso che instrada il traffico di rete dell'attaccante attraverso la connessione della vittima, utilizzando uno script di accesso, un'attività pianificata o una chiave di registro. LockAppHost esegue un crypto miner con diritti di amministratore dopo aver disabilitato Windows Update ed escluso cartelle da Microsoft Defender, utilizzando una chiave di registro o un servizio per la persistenza.
LockAppHost è il più dannoso dei quattro. Per ottenere diritti di amministratore, abusa dello strumento CMSTP di Windows, ricorrendo a un prompt di elevazione standard se fallisce. Una volta elevato, aggiunge esclusioni di Microsoft Defender per cartelle e tipi di file comuni, disabilita 5 servizi di Windows Update, disabilita 11 attività pianificate di aggiornamento e 2 attività di rimozione malware, e poi nasconde un miner all'interno di processi legittimi di Windows. Le modifiche che apporta per indebolire le difese della macchina rimangono anche dopo che il miner viene trovato. ProManager prende di mira gli utenti di portafogli di criptovaluta desktop, molti dei quali sono costruiti con il framework Electron. Poiché la posizione della finestra del portafoglio è salvata, ProManager apre contenuti forniti dall'attaccante dimensionati e posizionati per sovrapporsi al portafoglio reale, senza toccare il programma del portafoglio stesso. Una parte separata di quel modulo registra ciò che l'utente digita nei campi password e passphrase, inclusi i valori incollati dagli appunti.
Prima che i moduli arrivino, REVSTEALER getta una rete ampia. Raccoglie password e cookie del browser; file da più di 50 portafogli di criptovaluta e un ampio set di estensioni di portafoglio del browser; dati di sessione da Telegram e altri client di messaggistica; configurazione VPN e FTP; il Credential Manager di Windows; gestori di password; e documenti selezionati. Per alcune piattaforme di gioco, va oltre: decripta il cookie di sessione Roblox memorizzato, consentendo a un attaccante di assumere il controllo dell'account senza password. Per ottenere credenziali che Chrome protegge con App-Bound Encryption, REVSTEALER avvia il browser in modalità debugger e legge la chiave di decrittazione dalla memoria. Elastic ha dichiarato che questa tecnica non è nuova e probabilmente è stata adattata dal progetto pubblico ElevationKatz; è stata utilizzata anche da un altro stealer, VoidStealer, a marzo 2026, e Gen Digital ha definito VoidStealer il primo infostealer visto usarla in natura.
REVSTEALER raggiunge le vittime principalmente attraverso esche di cheat per giochi. Elastic ha identificato almeno 17 canali YouTube, molti dei quali erano stati dirottati dai loro proprietari originali, che promuovevano due siti di cheat usando brevi video generati con intelligenza artificiale. Il malware è stato anche confezionato come software piratato o impersonato, inclusa una falsa applicazione Claude Opus 5 Free Desktop che Morphisec ha documentato il 31 agosto. Quell'applicazione copiava il marchio di Anthropic, ma non ci sono indicazioni che Anthropic stessa sia stata compromessa. La regola di rilevamento di Elastic ha corrisposto a circa 4.700 campioni su VirusTotal nell'ultimo anno, un conteggio di file piuttosto che di infezioni confermate.
Il malware è costruito per resistere all'analisi. Valuta ogni macchina contro 10 controlli sandbox e si ferma se il totale è troppo alto, e termina su sistemi impostati su una delle 10 lingue usate in Russia e Asia centrale. Risolve le funzioni di Windows senza una normale tabella di importazione e chiama il kernel tramite chiamate di sistema indirette per bypassare gli hook installati dai prodotti di sicurezza. Se il suo server di comando principale non è raggiungibile, legge un indirizzo di backup da uno smart contract sulla blockchain Polygon, un metodo resistente al takedown noto come EtherHiding. Le build non impacchettate mostrano anche una finestra di verifica che richiede un codice casuale di sei caratteri prima di eseguire, un gate contro l'analisi automatizzata che Elastic confronta con Lumma Stealer e AuraStealer.
Per ridurre il rischio di infezione, evita di scaricare versioni gratuite o non ufficiali di strumenti AI a pagamento e cheat per giochi, e installa Claude solo dai canali ufficiali di Anthropic. Elastic ha pubblicato regole YARA, regole di comportamento e una serie di indicatori per il rilevamento e il blocco. Il file YARA pubblico copre lo stealer principale e i moduli ProManager, SoftManager e WinUpdate, ma non include una regola per LockAppHost, il modulo di mining. Poiché lo stealer principale si elimina da solo, un'infezione può sembrare completa mentre i moduli continuano a funzionare. Dove LockAppHost è stato eseguito, i responder dovrebbero riattivare i servizi di Windows Update e le attività pianificate che ha disattivato, rimuovere le esclusioni di Microsoft Defender che ha aggiunto e cercare un miner nascosto in un'istanza sospesa di nslookup.exe o svchost.exe. Poiché lo stealer ruba i cookie di sessione e la chiave App-Bound Encryption di Chrome, gli utenti colpiti dovrebbero cambiare le password e terminare le sessioni attive sui loro account piuttosto che presumere che un reset della password sia sufficiente.
Per i team IT che gestiscono endpoint aziendali, AEU-I offre servizi IT e infrastrutturali security-first che possono aiutarti a valutare e rafforzare il tuo ambiente contro minacce come questa. Gen Threat Labs ha documentato per la prima volta REVSTEALER a luglio, e il rapporto e il white paper di Elastic sono il resoconto pubblico più completo fino ad oggi.
Come Proteggerti
- Scarica programmi solo dal sito ufficiale dell'azienda che li produce e non installare mai una copia gratuita di uno strumento a pagamento o un cheat per giochi.
- Tieni attivi Windows Update e Microsoft Defender e lascia che eseguano automaticamente aggiornamenti e scansioni.
- Se pensi che il tuo computer possa essere stato colpito, cambia le password ed esci dai tuoi account su ogni dispositivo invece di limitarti a reimpostare una sola password.
- Diffida delle finestre pop-up inaspettate che appaiono sopra il tuo portafoglio di criptovalute o che chiedono una password; chiudile senza digitare nulla.
- Chiedi al tuo fornitore IT o a un tecnico di fiducia di controllare la presenza di attività di aggiornamento disabilitate o esclusioni di sicurezza su qualsiasi computer Windows che gestisci.
I Termini Spiegati
- information stealer Un tipo di programma dannoso che copia password salvate, cookie e altri dati privati da un computer e li invia a un attaccante.
- cryptocurrency miner Software che usa la potenza di calcolo di un computer per generare valuta digitale per qualcun altro, spesso senza che il proprietario lo sappia o lo consenta.
- Microsoft Defender Lo strumento antivirus e di sicurezza integrato che viene fornito con Windows e può bloccare molti programmi dannosi.
- Windows Update Il servizio automatico di Microsoft che fornisce correzioni di sicurezza e miglioramenti per il sistema operativo Windows.
- scheduled task Un'impostazione di Windows che dice al computer di eseguire un programma in un determinato momento o quando si verificano condizioni specifiche.
- Registry Run key Un posto nelle impostazioni di Windows dove i programmi possono essere configurati per avviarsi automaticamente quando un utente accede.
- reverse proxy Un programma che permette a un attaccante di inviare il proprio traffico internet attraverso il computer di qualcun altro, nascondendo la posizione reale dell'attaccante.
- App-Bound Encryption Una funzionalità di Chrome che lega le password salvate al browser in modo che solo Chrome possa leggerle, rendendole più difficili da rubare per i malware.