Связанные с REVSTEALER модули отключают обновления Windows и Defender ради майнинга

Исследователи Elastic Security Labs выявили четыре ранее не описанных исполняемых файла, связанных с инфостилером REVSTEALER. В отличие от основного вредоноса, который после кражи данных удаляет себя, эти программы закрепляются в профиле пользователя и продолжают работать на заражённом компьютере.

Один из модулей, получивший название LockAppHost, отключает Windows Update и добавляет исключения в Microsoft Defender, после чего запускает криптомайнер с правами администратора. Для повышения привилегий он злоупотребляет штатной утилитой Windows CMSTP; если этот способ не срабатывает, программа запрашивает повышение прав обычным системным диалогом.

После получения прав администратора LockAppHost добавляет в исключения Defender распространённые папки и типы файлов, отключает пять служб Windows Update, 11 запланированных задач обновления и две задачи средства удаления вредоносных программ. Затем модуль маскирует майнер в легитимных процессах Windows. По данным Elastic, изменения, ослабляющие защиту системы, сохраняются и после обнаружения майнера.

Остальные три компонента получили названия ProManager, WinUpdate и SoftManager. ProManager крадёт файлы криптокошельков и расширения браузерных кошельков, а также может накладывать управляемое злоумышленниками окно поверх интерфейса кошелька и перехватывать вводимые или вставляемые пароли и кодовые фразы. WinUpdate следит за буфером обмена, подменяет скопированные криптовалютные адреса адресом атакующих и собирает текст, похожий на фразу восстановления кошелька. SoftManager превращает компьютер жертвы в обратный прокси-сервер для перенаправления сетевого трафика злоумышленников через её подключение.

Elastic связывает эти программы с REVSTEALER по общим признакам сборки и результатам расследования: они используют один упаковщик, схожий механизм динамического разрешения функций и резервную конфигурацию через смарт-контракты Polygon. При этом исследователи не наблюдали, чтобы эти компоненты доставлялись на компьютер уже работающим REVSTEALER. Поэтому речь идёт не о плагинах стилера, а об отдельных исполняемых файлах, связь которых установлена по техническим совпадениям и контексту расследования.

Сам REVSTEALER продаётся как коммерческий инфостилер как минимум с февраля 2026 года, когда на VirusTotal нашли его ранний образец. Вредонос крадёт пароли и cookie браузеров, данные криптокошельков, игровых и мессенджерских аккаунтов, конфигурации VPN и FTP, сведения из Windows Credential Manager, данные менеджеров паролей и отдельные документы. После отправки собранного на сервер он удаляет себя и не оставляет механизмов закрепления.

Основной способ распространения REVSTEALER — приманки в виде читов для игр. Elastic обнаружила не менее 17 YouTube-каналов, многие из которых были захвачены у прежних владельцев: на них короткими роликами, сгенерированными ИИ, рекламировались два сайта с читами. Вредонос также распространяли под видом пиратских или поддельных программ, в том числе приложения «Claude Opus 5 Free Desktop». По данным Elastic, это приложение копировало фирменный стиль Anthropic, но признаков компрометации самой Anthropic нет.

Правило обнаружения Elastic сработало примерно на 4700 образцах на VirusTotal за последний год. Эта цифра отражает число файлов, а не подтверждённое количество заражений.