REVSTEALER persiste dopo il furto: quattro moduli disarmano Defender e minano crypto

🛡️ Executive Summary

• Elastic collega a REVSTEALER quattro payload persistenti: ProManager, WinUpdate, SoftManager e LockAppHost, ciascuno con funzioni e meccanismi di persistenza distinti.
• LockAppHost tenta l’elevazione tramite CMSTP, disabilita servizi e task di Windows Update, crea esclusioni in Defender e distribuisce XMRig.
• Il core di REVSTEALER può cancellarsi dopo il furto dei dati, lasciando però moduli persistenti che richiedono una bonifica separata dell’endpoint.

REVSTEALER non si limita più al modello classico dell’infostealer che raccoglie credenziali, wallet e cookie per poi scomparire dal computer compromesso. Un’analisi di Elastic Security Labs collega alla stessa attività quattro eseguibili autonomi — ProManager, WinUpdate, SoftManager e LockAppHost — capaci di sopravvivere al componente principale e trasformare l’infezione in un accesso persistente. Il modulo più aggressivo, LockAppHost, tenta di ottenere privilegi amministrativi, modifica le difese di Microsoft Defender, interrompe parti di Windows Update e avvia XMRig all’interno di processi Windows. La scoperta amplia una minaccia già comparsa nelle false applicazioni Claude utilizzate per distribuire REVSTEALER e colpire wallet crypto.

REVSTEALER passa dal furto rapido alla persistenza modulare

La ricerca tecnica pubblicata da Elastic Security Labs descrive REVSTEALER come una famiglia emergente tracciata con l’identificativo REF2859, osservata in crescita durante il 2026 e rappresentata da circa 4.700 sample presenti su VirusTotal nell’arco dell’ultimo anno. Il numero indica file rilevati e caricati sulla piattaforma, non 4.700 infezioni confermate. Il core malware raccoglie password e cookie dai browser, dati di VPN e applicazioni di messaggistica, password manager, documenti, credenziali Windows e informazioni provenienti da oltre cinquanta wallet o estensioni crypto. Può inoltre sottrarre dati associati a piattaforme gaming e aggirare Chrome App-Bound Encryption attraverso una tecnica basata sul debugger, leggendo dalla memoria le informazioni necessarie alla decifratura.

Il dato più importante della nuova analisi riguarda però ciò che avviene dopo: una volta completata l’esfiltrazione, il componente principale può eliminarsi, mentre i quattro eseguibili aggiuntivi installano separatamente la propria persistenza. Elastic li definisce moduli per comodità analitica, ma precisa che non sono plug-in caricati dentro REVSTEALER: sono programmi autonomi, dotati di installazione, persistenza, configurazione e protocollo di comando e controllo propri. La distinzione è importante anche dal punto di vista forense, perché trovare e rimuovere il solo stealer non dimostra che l’endpoint sia stato bonificato.

ProManager prende di mira wallet e passphrase con overlay selettivi

ProManager è il componente più orientato al furto diretto di asset crypto. Il white paper tecnico di Elastic descrive un collector in grado di cercare undici target riconducibili a nove famiglie di wallet nativi e 57 identificativi di estensioni Chromium, scandagliando Chrome, Edge, Brave, Opera e Opera GX e includendo fino a dieci profili browser. La componente più interessante utilizza le caratteristiche delle applicazioni desktop costruite con Electron: ProManager recupera da window-state.json posizione e dimensioni della finestra del wallet e apre contenuto controllato dall’attaccante nella stessa area dello schermo, creando un overlay di phishing visivamente allineato al software legittimo senza doverlo modificare o iniettare codice nel suo processo. In parallelo utilizza Windows UI Automation e un hook di tastiera per riconoscere campi identificati come password, passphrase o equivalenti e registrare solo gli input ritenuti sensibili, compresi quelli incollati attraverso la clipboard. L’approccio mostra come il furto crypto stia evolvendo oltre il semplice dumping dei file: l’attaccante può attendere che la vittima inserisca volontariamente il segreto necessario a sbloccare il wallet. La dinamica si inserisce nello stesso mercato criminale nel quale gli infostealer sottraggono sessioni Claude già autenticate per aggirare di fatto il valore protettivo del 2FA.

Leggi anche: ClearFake usa WordlistLoader per distribuire Amatera e aggirare EDR e Chrome App-Bound Encryption

WinUpdate sostituisce gli indirizzi crypto e cerca seed phrase nella clipboard

WinUpdate opera invece sulla clipboard e implementa una tecnica particolarmente efficace contro le transazioni in criptovalute: osserva ciò che l’utente copia, riconosce stringhe compatibili con indirizzi di wallet e può sostituirle con indirizzi controllati dall’attaccante. La vittima rischia così di autorizzare una transazione legittima nell’interfaccia che sta utilizzando, ma verso un destinatario differente da quello originariamente copiato. Il modulo cerca inoltre contenuti compatibili con mnemonic phrase e seed phrase, trasformando la clipboard in un ulteriore punto di raccolta delle credenziali. La persistenza viene ottenuta principalmente tramite un task pianificato configurato per essere eseguito con frequenza elevata, con una chiave HKCU\Run come meccanismo alternativo. Elastic ha rilevato anche un protocollo HTTPS progettato per rendere parte del traffico simile a telemetria ordinaria. La tecnica non richiede lo sfruttamento di una vulnerabilità nel wallet: sfrutta invece l’abitudine dell’utente a copiare indirizzi lunghi e difficili da verificare visivamente. Per questo una verifica soltanto dei primi e ultimi caratteri può non essere sufficiente quando il malware utilizza indirizzi deliberatamente simili. Il controllo dell’intero destinatario sul dispositivo che firma la transazione resta una delle difese più efficaci contro questa classe di clipboard hijacking.

SoftManager trasforma la vittima in un proxy per il traffico dell’attaccante

Il terzo componente, SoftManager, modifica il valore economico dell’endpoint compromesso. Invece di concentrare l’attività sul furto immediato, crea un reverse SOCKS5 proxy e mantiene una sessione WebSocket persistente con l’infrastruttura remota, permettendo agli operatori di instradare traffico attraverso l’indirizzo IP della vittima. Un computer compromesso diventa così un nodo di uscita utilizzabile per ulteriori attività, facendo apparire connessioni dell’attaccante come provenienti da una normale linea residenziale o aziendale. La persistenza può sfruttare UserInitMprLogonScript, task pianificati o chiavi Run, aumentando le possibilità che almeno uno dei meccanismi sopravviva. Questa capacità amplia notevolmente l’impatto della compromissione: l’endpoint può essere utilizzato anche quando il furto iniziale di credenziali è già terminato, con possibili conseguenze reputazionali e investigative per il proprietario dell’indirizzo IP. Elastic osserva inoltre un elemento comune ai moduli: Polygon viene impiegato come canale resiliente di configurazione. ProManager, WinUpdate e SoftManager possono recuperare endpoint C2 sostitutivi interrogando smart contract predefiniti, evitando di dipendere esclusivamente da domini che possono essere sequestrati o bloccati. È una variante dell’approccio EtherHiding, già osservato nelle campagne che utilizzano smart contract pubblici come infrastruttura resistente ai takedown.

LockAppHost disarma Windows Update e Defender prima di avviare XMRig

LockAppHost è il componente che modifica più profondamente la configurazione del sistema. La catena parte dal tentativo di elevare i privilegi attraverso CMSTP, utility Windows firmata da Microsoft storicamente abusata per eseguire comandi attraverso file INF. Il malware legge prima le policy UAC del sistema per determinare se il percorso è praticabile; se non lo è, ripiega sulla normale richiesta di elevazione tramite PowerShell RunAs. Una volta ottenuti privilegi sufficienti, il controller installa la propria persistenza, modifica le esclusioni di Microsoft Defender e interviene sui meccanismi di aggiornamento. Elastic ha documentato la disabilitazione di cinque servizi Windows Update, undici task pianificati legati agli aggiornamenti e due attività relative al Malware Removal Tool. Il payload contiene inoltre XMRig e un driver WinRing0, recupera dalla blockchain Polygon i parametri operativi del miner e tenta di occultarne l’esecuzione all’interno di un processo Windows sospeso. Su Windows 11 24H2 il malware incorpora persino una gestione specifica dei problemi che possono ostacolare il process hollowing durante l’inizializzazione dell’hotpatching. Il rischio non è quindi soltanto il consumo abusivo di CPU: le modifiche alle difese restano sul sistema anche dopo la rimozione del miner, lasciando l’endpoint meno protetto contro infezioni successive.

Chrome ABE, indirect syscalls e Polygon complicano l’analisi

Il core di REVSTEALER utilizza diversi meccanismi di evasione che spiegano perché Elastic lo consideri una famiglia in rapida maturazione. Il malware assegna un punteggio a dieci controlli anti-sandbox e termina l’esecuzione quando l’ambiente appare troppo sospetto. Controlla inoltre impostazioni linguistiche e può interrompersi su sistemi associati a Russia, Ucraina, Bielorussia e diversi Paesi dell’Asia centrale. Le API Windows vengono risolte dinamicamente invece di comparire normalmente nella import table e alcune operazioni sfruttano indirect system calls per ridurre l’efficacia degli hook user-mode utilizzati dai prodotti endpoint. Per Chrome, REVSTEALER implementa un bypass dell’Application-Bound Encryption basato sul debugger, tecnica che Elastic riconduce al progetto pubblico ElevationKatz e che era stata osservata anche con VoidStealer. Il quadro conferma una tendenza già evidente nelle campagne recenti: l’infostealer moderno non cerca soltanto il file Login Data, ma si adatta ai nuovi meccanismi di protezione del browser cercando il momento nel quale la chiave o la sessione deve necessariamente diventare utilizzabile dal processo legittimo.

Continua con:

• Windows 11 aggiorna le build mentre BTR.sys può disarmare Defender e gli EDR
• Chrome ed Edge sotto attacco: 19 estensioni rubano wallet, credenziali e sessioni

La bonifica deve cercare ciò che resta dopo REVSTEALER

L’elemento operativo più importante dell’analisi riguarda la risposta all’incidente. La scomparsa del file principale di REVSTEALER non equivale alla fine della compromissione. Gli analisti devono cercare persistenze attraverso Run key, servizi, logon script e task pianificati, verificare le esclusioni aggiunte a Microsoft Defender e controllare che servizi e attività di Windows Update siano stati ripristinati. Elastic suggerisce inoltre di cercare segnali dell’esecuzione del miner all’interno di processi come nslookup.exe o svchost.exe e ha pubblicato regole comportamentali, YARA e indicatori utilizzabili per il rilevamento.

Per le vittime il semplice cambio della password può essere insufficiente: REVSTEALER sottrae cookie e sessioni, quindi è necessario revocare le sessioni già attive, ruotare le credenziali compromesse e considerare wallet e seed eventualmente esposti come non più affidabili. La distribuzione tramite cheat per videogiochi, software pirata e false applicazioni AI conferma infine che la fase iniziale rimane spesso molto meno sofisticata del payload. La catena può terminare con bypass di Chrome ABE, smart contract Polygon, process hollowing e manipolazione delle difese Windows, ma inizia ancora con un utente convinto a eseguire un programma che non avrebbe dovuto installare.