Четыре связанных с REVSTEALER модуля отключают Центр обновления Windows и Защитник Windows для запуска криптомайнера.

[admin]

Компания Elastic Security Labs задокументировала четыре ранее не описанные программы, связанные с REVSTEALER, новым вредоносным ПО для Windows, которые остаются на зараженном компьютере после того, как программа удаляет себя.


Один из них отключает Центр обновления Windows и Microsoft Defender перед запуском майнера криптовалюты.


Компания назвала четыре программы ProManager , WinUpdate , SoftManager и LockAppHost и опубликовала результаты 2 сентября вместе с техническим документом . REVSTEALER продавался как коммерческий инфидер как минимум с февраля 2026 года, когда первый образец был обнаружен на VirusTotal.


Основной вредоносный код похищает пароли браузера и cookie-файлы, криптовалютные кошельки, игровые аккаунты, данные мессенджеров и файлы, затем сообщает на свой сервер о завершении процесса, удаляется и не оставляет никаких следов. Четыре недавно описанные программы работают по-разному. Каждая устанавливается в профиль пользователя и остается там.


Компания Elastic восстановила четыре программы в ходе того же расследования, что и REVSTEALER, и обнаружила, что они используют одни и те же методы сборки, включая тот же упаковщик, разрешение функций во время выполнения и использование смарт-контрактов Polygon для резервного копирования конфигурации.

Основной похититель также может загружать и запускать дополнительные исполняемые файлы из командной строки. Компания Elastic не сообщила о доставке ни одного из четырех файлов на работающий хост REVSTEALER, поэтому связь основана на общем коде и контексте исследования, а не на наблюдаемой передаче данных.
Компания описывает эти компоненты как «набор действий» и отмечает, что это отдельные исполняемые файлы, а не плагины, загружаемые в саму программу-похититель.
В описании Elastic указано, что делает каждая программа:

Променеджер	Похищает файлы кошелька и расширения кошелька для браузера, отображает контент, контролируемый злоумышленником, поверх окна приложения кошелька и записывает пароли, введенные или вставленные в поля, которые он идентифицирует как поля ввода пароля или кодовой фразы.	Ключ реестра "Выполнить"
Обновление Windows	Отслеживает содержимое буфера обмена, заменяет скопированные адреса криптовалюты на адреса злоумышленника и собирает текст, похожий на фразу восстановления кошелька.	Запланированная задача с ключом Run в реестре в качестве резервного варианта.
SoftManager	Превращает машину в обратный прокси-сервер, который направляет сетевой трафик злоумышленника через соединение жертвы.	Сценарий входа в систему, запланированное задание или ключ реестра "Выполнить"
LockAppHost	Запускает майнер криптовалюты с правами администратора после отключения Центра обновления Windows и исключения папок из списка поддерживаемых Microsoft Defender.	Ключ реестра Run или служба

LockAppHost — наиболее проблемный из четырёх вариантов. Для получения прав администратора он использует инструмент Windows CMSTP, переключаясь на стандартный запрос на повышение привилегий, если это не удаётся.
После повышения привилегий он добавляет исключения Microsoft Defender для распространенных папок и типов файлов, отключает 5 служб Центра обновления Windows, отключает 11 запланированных задач обновления и 2 задачи удаления вредоносных программ, а затем скрывает майнер внутри легитимных процессов Windows. Изменения, внесенные для ослабления защиты машины, сохраняются и после обнаружения майнера.
ProManager нацелен на пользователей настольных криптовалютных кошельков. Поскольку большинство этих кошельков созданы на основе фреймворка Electron, ProManager считывает сохраненное положение окна кошелька и открывает предоставленный злоумышленником контент, размер и расположение которого позволяют наложить его на реальный кошелек, не затрагивая саму программу кошелька.
Отдельная часть модуля записывает то, что пользователь вводит в поля пароля и кодовой фразы, включая значения, скопированные из буфера обмена.
Еще до поступления модулей REVSTEALER охватывает широкий круг вопросов. Он собирает пароли и cookie-файлы браузеров; файлы из более чем 50 криптовалютных кошельков и большого набора расширений для браузеров, позволяющих хранить данные о сессиях в Telegram и других мессенджерах; конфигурацию VPN и FTP; данные из диспетчера учетных данных Windows; менеджеры паролей; и выбранные документы.
На некоторых игровых платформах это заходит еще дальше. Система расшифровывает сохраненный cookie-файл сессии Roblox, позволяя злоумышленнику получить контроль над учетной записью без пароля.
Для получения учетных данных, которые Chrome защищает с помощью шифрования, привязанного к приложению (App-Bound Encryption), REVSTEALER запускает браузер в режиме отладки и считывает ключ расшифровки из памяти. Это не новая технология, и она не является уникальной для REVSTEALER.



Компания Elastic заявила, что эта технология, вероятно, была адаптирована из общедоступного проекта ElevationKatz и также использовалась другим злоумышленником, VoidStealer, в марте 2026 года . Компания Gen Digital, которая проанализировала VoidStealer, описала его как первого злоумышленника, использующего эту технику в реальных условиях.


REVSTEALER находит жертв в основном через приманки в виде читов для игр. Компания Elastic выявила как минимум 17 каналов на YouTube, многие из которых были взломаны у их первоначальных владельцев , и которые рекламировали два сайта с читами, используя короткие видеоролики, сгенерированные искусственным интеллектом.


Вредоносное ПО также распространялось под видом пиратского или имитированного программного обеспечения, включая поддельное приложение "Claude Opus 5 Free Desktop", которое Morphisec задокументировал 31 августа. Это приложение копировало фирменную символику Anthropic, и нет никаких признаков того, что сама компания Anthropic была скомпрометирована. Правило обнаружения Elastic совпало примерно с 4700 образцами на VirusTotal за последний год, что представляет собой подсчет файлов, а не подтвержденных заражений.