Mit REVSTEALER verknüpfte Windows-Malware stiehlt weiterhin Kryptowährungen, leitet Datenverkehr weiter und schürft Coins

Elastic Security Labs hat vier bislang nicht dokumentierte Windows-Executables entdeckt, die mit REVSTEALER in Verbindung stehen, einem kommerziellen Information Stealer, der vor allem über Game-Cheats und gefälschte Software verbreitet wird.

Die Programme – ProManager, WinUpdate, SoftManager und LockAppHost – erweitern den Angriff über den ursprünglichen Datendiebstahl durch REVSTEALER hinaus. Sie werden im Benutzerprofil installiert und richten Persistenzmechanismen ein. Dadurch können die schädlichen Aktivitäten fortgesetzt werden, nachdem der eigentliche Stealer seine Dateien gelöscht hat.

LockAppHost stellt das größte operative Risiko dar. Die Malware erweitert ihre Berechtigungen, installiert einen Kryptowährungsminer, schwächt Microsoft Defender und deaktiviert Komponenten von Windows Update. Diese Änderungen an den Sicherheitsfunktionen können bestehen bleiben, nachdem Incident Responder den Miner entdeckt und entfernt haben.

Elastic veröffentlichte seine Erkenntnisse und ein technisches Whitepaper am 2. September. Gen Threat Labs dokumentierte REVSTEALER erstmals im Juli; das früheste bekannte Sample wurde im Februar 2026 auf VirusTotal veröffentlicht.

Vier persistente Executables erweitern den ursprünglichen Angriff

REVSTEALER selbst ist auf die schnelle Sammlung und Exfiltration von Daten ausgelegt. Die Malware stiehlt Browserpasswörter und Cookies, Einträge aus dem Windows Credential Manager, Daten von Passwortmanagern, ausgewählte Dokumente, Messaging-Sitzungen, VPN- und FTP-Konfigurationen, Gaming-Zugangsdaten sowie Daten von mehr als 50 Kryptowährungs-Wallets.

Nach Abschluss der Datensammlung meldet sich die Malware bei ihrem Command-and-Control-Server und entfernt sich selbst. Diese fehlende Persistenz kann den falschen Eindruck erwecken, der Angriff sei beendet.

Die vier zugehörigen Executables verhalten sich unterschiedlich:

• ProManager greift Desktop-Kryptowährungs-Wallets über die Erfassung von Zugangsdaten und täuschende Fenster-Overlays an.
• WinUpdate manipuliert Inhalte der Zwischenablage und sammelt Wiederherstellungsphrasen von Wallets.
• SoftManager verwandelt den Computer in einen Reverse Proxy für von Angreifern kontrollierten Datenverkehr.
• LockAppHost richtet einen Kryptowährungsminer mit erhöhten Rechten ein und beeinträchtigt die Sicherheits- und Update-Funktionen von Windows.

Dabei handelt es sich um eigenständige Executables und nicht um Plug-ins, die innerhalb von REVSTEALER geladen werden. Elastic stellte sie im Rahmen derselben Untersuchung sicher und verknüpfte sie anhand gemeinsamer Entwicklungsmerkmale, darunter ein gemeinsamer Packer, die dynamische Auflösung von Windows-APIs und Polygon-Smart-Contracts, die als Fallback-Konfiguration dienen.

Allerdings beobachteten die Forscher nicht direkt, dass eine der vier Dateien an eine aktive REVSTEALER-Infektion ausgeliefert wurde. Die Zuordnung basiert daher auf Code-Ähnlichkeiten und dem Untersuchungskontext und nicht auf einer bestätigten Ausführungskette.

REVSTEALER kann zusätzliche Kommandozeilenprogramme starten. Damit besteht technisch ein plausibler Weg, über den die Komponenten bereitgestellt werden könnten. Ob dieser Mechanismus für diese spezifischen Module verwendet wird, ist jedoch nicht bekannt.

Wallet-Overlays und Diebstahl aus der Zwischenablage zielen auf Kryptowährungsnutzer

ProManager nutzt eine verbreitete Eigenschaft von Desktop-Kryptowährungs-Wallets aus: Viele dieser Anwendungen basieren auf dem Electron-Framework und speichern Angaben zur Position und Größe ihres Fensters.

Die Malware liest diese gespeicherten Koordinaten aus und platziert anschließend von Angreifern kontrollierte Inhalte direkt über dem Fenster der legitimen Wallet. Da das Overlay an der echten Anwendung ausgerichtet ist, können Opfer annehmen, mit ihrer Wallet und nicht mit einer schädlichen Oberfläche zu interagieren.

ProManager überwacht Felder, die als Eingaben für Passwörter oder Passphrasen klassifiziert sind. Die Malware erfasst manuell eingegebene Geheimnisse ebenso wie aus der Zwischenablage eingefügte Werte und deckt damit sowohl herkömmliche Passwörter als auch längere Wallet-Zugangsdaten ab. Über einen Registry-Run-Key kann sie sich bei der Anmeldung erneut starten.

WinUpdate greift an einer anderen Stelle von Kryptowährungstransaktionen an. Die Malware überwacht die Windows-Zwischenablage auf kopierte Wallet-Adressen und ersetzt diese durch eine vom Angreifer kontrollierte Adresse. Vergleicht das Opfer vor der Bestätigung einer Überweisung nicht die vollständige Zieladresse, können die Gelder unwiderruflich an die falsche Wallet gesendet werden.

Das Modul sucht außerdem nach Text, der dem erwarteten Format einer Wiederherstellungsphrase für eine Wallet entspricht. Solche Phrasen können vollständige Kontrolle über eine Wallet ermöglichen. Ihr Diebstahl kann daher weit schwerwiegender sein als der Verlust des Passworts für ein einzelnes Konto.

WinUpdate sorgt in erster Linie über eine geplante Aufgabe für Persistenz; ein Registry-Run-Key dient als alternativer Mechanismus.

LockAppHost setzt Windows-Schutzfunktionen außer Kraft

LockAppHost versucht, Administratorrechte zu erlangen, indem die Malware CMSTP missbraucht, ein legitimes Windows-Tool im Zusammenhang mit Connection-Manager-Profilen. Funktioniert diese Technik nicht, greift die Malware auf eine herkömmliche Aufforderung zur Rechteerweiterung zurück.

Nach der Erlangung erweiterter Rechte nimmt sie umfangreiche Änderungen an den Schutzmechanismen vor:

• Fügt Microsoft-Defender-Ausnahmen für häufig verwendete Verzeichnisse und Dateitypen hinzu.
• Deaktiviert fünf Windows-Update-Dienste.
• Deaktiviert elf geplante Aufgaben im Zusammenhang mit Updates.
• Deaktiviert zwei Aufgaben zur Entfernung von Malware.
• Versteckt den Kryptowährungsminer in legitimen Windows-Prozessen.

Die Komponente kann ihre Persistenz entweder über einen Registry-Run-Key oder einen Windows-Dienst aufrechterhalten. Elastic empfiehlt Incident Respondern, gezielt nach einem Miner zu suchen, der in angehaltenen Instanzen von nslookup.exe oder svchost.exe verborgen ist.

Die Entfernung der Mining-Payload reicht nicht aus. Die Defender-Ausnahmen und deaktivierten Wartungskomponenten können bestehen bleiben, nachdem der Miner entdeckt wurde. Dadurch ist das System künftig stärker durch weitere Malware gefährdet, und reguläre Sicherheitsupdates können verhindert werden.

SoftManager stellt eine weitere Risikokategorie dar. Die Malware richtet einen Reverse Proxy ein, über den Angreifer Netzwerkverkehr über die Verbindung des Opfers leiten können. Dadurch wird Bandbreite verbraucht, während potenziell schädliche Aktivitäten mit der öffentlichen IP-Adresse und dem Ruf des Netzwerks des Opfers in Verbindung gebracht werden.

SoftManager unterstützt drei Persistenzoptionen: ein Anmeldeskript, eine geplante Aufgabe oder einen Registry-Run-Key.

Gestohlene Cookies können eine Passwortänderung umgehen

Die Browser-Funktionen von REVSTEALER gehen über das Auslesen gespeicherter Passwörter hinaus. Bei Roblox-Konten entschlüsselt die Malware das gespeicherte Sitzungscookie und ermöglicht damit möglicherweise die Übernahme des Kontos, ohne dass der Angreifer das Passwort kennen muss.

Die Malware kann außerdem den Schutz durch Chromes App-Bound Encryption umgehen, indem sie den Browser unter einem Debugger startet und den relevanten Entschlüsselungsschlüssel aus dem Speicher ausliest. Elastic bewertete diese Implementierung als wahrscheinlich vom öffentlich verfügbaren Projekt ElevationKatz übernommen.

VoidStealer nutzte im März 2026 denselben Ansatz. Gen Digital, das diese Kampagne untersuchte, bezeichnete sie als den ersten beobachteten Fall, in dem ein Infostealer diese Methode bei aktiven Angriffen einsetzte.

Diese Fähigkeit verändert die angemessene Reaktion. Eine Passwortänderung macht ein bereits gestohlenes Sitzungstoken möglicherweise nicht ungültig. Betroffene sollten offengelegte Zugangsdaten ändern und ausdrücklich alle aktiven Sitzungen für betroffene Browser-, Kryptowährungs-, Gaming-, Messaging- und Passwortmanager-Konten beenden.

Wiederherstellungsphrasen für Wallets erfordern eine noch konsequentere Reaktion. Wenn eine Phrase möglicherweise erfasst wurde, sollten Nutzer die zugehörige Wallet als kompromittiert betrachten und die Vermögenswerte über ein vertrauenswürdiges, sauberes Gerät übertragen.

Game-Cheats und gefälschte KI-Software verschaffen den Erstzugang

REVSTEALER wird hauptsächlich über Köder in Form von Game-Cheats verbreitet. Elastic identifizierte mindestens 17 YouTube-Kanäle, die über kurze, KI-generierte Videos für zwei Cheat-Websites warben. Viele dieser Kanäle waren offenbar von ihren ursprünglichen Besitzern übernommen worden.

Die Malware wurde außerdem in raubkopierter oder nachgeahmter Software entdeckt. Morphisec dokumentierte am 31. August eine gefälschte Anwendung namens „Claude Opus 5 Free Desktop“. Sie kopierte das Branding von Anthropic, es gab jedoch keinen Hinweis darauf, dass Systeme oder legitime Software von Anthropic kompromittiert worden waren.

Nutzer sollten Claude über die offiziellen Vertriebskanäle von Anthropic beziehen. Inoffizielle Angebote kostenloser Versionen kostenpflichtiger KI-Dienste, raubkopierte Anwendungen und Game-Cheats bergen ein erhöhtes Risiko für den Diebstahl von Zugangsdaten.

Die Erkennungsregel von Elastic stimmte im vergangenen Jahr mit etwa 4.700 VirusTotal-Samples überein. Diese Zahl bezieht sich auf die von der Regel erkannten Dateien und nicht auf 4.700 bestätigte Opfer oder Installationen.

REVSTEALER überprüft außerdem zehn Sandbox-Indikatoren und beendet sich, wenn der kumulierte Wert auf eine Analyseumgebung hindeutet. Die Malware verweigert ihre Ausführung auf Systemen, die auf eine von zehn mit Russland und Zentralasien verbundenen Sprachen konfiguriert sind, löst Windows-Funktionen ohne eine normale Importtabelle auf und verwendet indirekte Systemaufrufe, um die Erkennung durch Security Hooks zu erschweren.

Wenn der primäre Command-and-Control-Server nicht erreichbar ist, kann die Malware eine Fallback-Adresse aus einem Smart Contract auf der Polygon-Blockchain abrufen. Dieses Design nach dem EtherHiding-Prinzip erschwert die Entfernung der Konfiguration durch herkömmliche Maßnahmen zur Abschaltung von Domains.

Indicators und Prioritäten bei der Reaktion

Verteidiger können die folgenden Command-and-Control-Domains blockieren und untersuchen:

monitor5.roast-core85[.]click
config.hubdisplay[.]lol
health.journal-metric[.]lol
metric.gardenpark[.]click

Die bekannten SHA-256-Hashes lauten:

REVSTEALER:
adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4

ProManager:
13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa

WinUpdate:
7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb

SoftManager:
14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2

LockAppHost:
c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5

Elastic hat YARA- und verhaltensbasierte Erkennungen veröffentlicht. Das öffentliche YARA-Set deckt REVSTEALER, ProManager, WinUpdate und SoftManager ab, nicht jedoch LockAppHost. Für diese besonders störende Komponente ist daher eine verhaltensbasierte Suche erforderlich.

Incident Responder sollten Registry-Run-Keys, Dienste, geplante Aufgaben und Anmeldeskripte überprüfen, unerwartete CMSTP-Ausführungen und Ereignisse zur Rechteerweiterung untersuchen sowie nach Wallet-Overlays, Ersetzungen in der Zwischenablage, der Erfassung von Wiederherstellungsphrasen oder unerklärlichem Proxy-Datenverkehr suchen.

Auf Systemen, die von LockAppHost betroffen sind, sollten Teams die fünf deaktivierten Windows-Update-Dienste wiederherstellen, die elf Update-Aufgaben und die beiden Aufgaben zur Entfernung von Malware reaktivieren sowie nicht autorisierte Defender-Ausnahmen entfernen. Angehaltene Prozesse von nslookup.exe und svchost.exe erfordern eine umgehende Untersuchung.

Das zentrale Risiko besteht in der Persistenz nach einer scheinbar erfolgreichen Bereinigung. Die Entdeckung der sich selbst löschenden REVSTEALER-Payload bedeutet nicht, dass der Host sauber ist.