REVSTEALER: quattro moduli aggiuntivi disattivano Windows Update e Defender per avviare un miner di criptovalute

REVSTEALER, lo stealer Windows emergente, è stato arricchito da quattro nuovi eseguibili che, pur non essendo plug‑in del core, rimangono attivi sul sistema compromesso, disattivano le difese di Windows e avviano un miner di criptovalute. Elastic Security Labs ha pubblicato il loro studio il 2 settembre, fornendo dettagli tecnici e indicatori di compromissione.

Panoramica dei quattro moduli

I componenti identificati – ProManager, WinUpdate, SoftManager e LockAppHost – si installano nella cartella del profilo utente e condividono lo stesso “packer”, la stessa risoluzione dinamica delle funzioni di runtime e l’utilizzo di smart contract su Polygon per configurazioni di backup. A differenza del core stealer, che si autodistrugge dopo aver inviato i dati rubati, questi moduli persistono, garantendo una presenza prolungata sul dispositivo.

Funzionalità specifiche dei moduli

• LockAppHost: sfrutta lo strumento di installazione di Windows CMSTP per ottenere privilegi di amministratore (con fallback a un prompt di elevazione). Una volta elevato, aggiunge esclusioni a Microsoft Defender, disattiva 5 servizi di Windows Update, 11 attività programmate di aggiornamento e 2 attività di rimozione malware, per poi avviare un miner mascherato in processi legittimi come nslookup.exe o svchost.exe. Le modifiche rimangono anche dopo la rimozione del miner.
• ProManager: mira agli utenti di wallet desktop basati su Electron. Sovrappone una finestra controllata dall’attaccante alla UI del wallet, intercettando password e passphrase digitati o incollati.
• WinUpdate e SoftManager: agiscono come “activity set” autonomi, mantenendo la persistenza e facilitando il download di ulteriori eseguibili tramite la riga di comando del core stealer.

Strategie di evasione e resilienza

REVSTEALER è progettato per sfuggire all’analisi sandbox: effettua un “sandbox check” su 10 criteri e abortisce se il punteggio supera una soglia. Inoltre, blocca l’esecuzione su sistemi con una delle 10 lingue più usate in Russia e Asia Centrale. Le chiamate di sistema avvengono tramite “indirect system calls”, bypassando i hook dei prodotti di sicurezza. Se il server di comando principale è irraggiungibile, il malware legge un indirizzo di backup da uno smart contract su Polygon (tecnica “EtherHiding”).

Vettori di diffusione

Il principale canale di distribuzione è rappresentato da “game‑cheat lures”: video AI‑generati su più di 17 canali YouTube (spesso dirottati) promuovono siti di cheat. Il malware è stato inoltre confezionato come software pirata o falsificato, ad esempio il fittizio “Claude Opus 5 Free Desktop”, che sfrutta il brand di Anthropic senza alcuna compromissione dell’azienda.

Implicazioni per la difesa

Elastic ha registrato circa 4.700 campioni su VirusTotal nell’ultimo anno, ma il numero di infezioni confermate è incerto. La capacità del core stealer di cancellarsi rende difficile la rilevazione post‑evento, poiché i moduli residui continuano a operare. Le difese tradizionali (Defender, Windows Update) possono essere neutralizzate, quindi è fondamentale monitorare le modifiche ai servizi di sistema e alle esclusioni di Defender.

Raccomandazioni operative

• Implementare le regole YARA pubblicate da Elastic per il core stealer e per i moduli ProManager, SoftManager e WinUpdate; creare una regola personalizzata per LockAppHost basata sugli hash e sui comportamenti osservati.
• Ripristinare i servizi di Windows Update e le attività programmate disattivate da LockAppHost.
• Rimuovere le esclusioni aggiunte a Microsoft Defender e verificare l’integrità dei processi nslookup.exe e svchost.exe per individuare eventuali miner sospetti.
• Per gli utenti colpiti, cambiare le credenziali di tutti gli account, terminare le sessioni attive e rigenerare le chiavi di cifratura dei wallet (in particolare per Chrome, dove REVSTEALER estrae la chiave di “App‑Bound Encryption”).
• Limitare il download di software “gratuito” o non ufficiale, soprattutto tool AI e cheat per videogiochi; verificare sempre la provenienza dei file.

Conclusioni

REVSTEALER dimostra come gli attori di cybercrime stiano evolvendo da semplici infostealer a piattaforme modulari capaci di neutralizzare le difese di Windows e di sfruttare la potenza di mining di criptovalute. La combinazione di tecniche di evasione avanzate, uso di blockchain per la resilienza e vettori di diffusione basati su contenuti AI rende questo malware particolarmente pericoloso. Le organizzazioni devono adottare una difesa a più livelli, includendo monitoraggio continuo dei servizi di sistema, regole di rilevamento aggiornate e una rigorosa policy di download per mitigare il rischio.