Les malwares Windows liés à REVSTEALER persistent pour voler des cryptomonnaies, relayer du trafic et miner des monnaies

Elastic Security Labs a découvert quatre exécutables Windows jusqu’alors non documentés, associés à REVSTEALER, un infostealer commercial diffusé principalement par l’intermédiaire de triches pour jeux vidéo et de logiciels contrefaits.

Ces programmes — ProManager, WinUpdate, SoftManager et LockAppHost — prolongent l’opération au-delà du vol initial effectué par REVSTEALER. Ils s’installent dans le profil utilisateur et assurent leur persistance, ce qui permet aux activités malveillantes de se poursuivre après la suppression des fichiers du voleur principal.

LockAppHost présente le risque opérationnel le plus élevé. Il élève ses privilèges, déploie un mineur de cryptomonnaie, affaiblit Microsoft Defender et désactive des composants de Windows Update. Ces modifications de sécurité peuvent subsister même après la détection et la suppression du mineur par les équipes d’intervention.

Elastic a publié ses conclusions ainsi qu’un livre blanc technique le 2 septembre. Gen Threat Labs avait documenté REVSTEALER pour la première fois en juillet, tandis que le plus ancien échantillon connu était apparu sur VirusTotal en février 2026.

Quatre exécutables persistants étendent la compromission initiale

REVSTEALER est conçu pour collecter et exfiltrer rapidement les données. Il vole les mots de passe et les cookies des navigateurs, les enregistrements de Windows Credential Manager, les données des gestionnaires de mots de passe, certains documents, les sessions de messagerie, les configurations VPN et FTP, les identifiants de jeux vidéo et les données associées à plus de 50 portefeuilles de cryptomonnaie.

Une fois la collecte terminée, le malware envoie les données à son serveur de commande, puis se supprime. Cette absence de persistance peut donner à tort l’impression que la compromission a pris fin.

Les quatre exécutables associés ont des comportements différents :

• ProManager cible les portefeuilles de cryptomonnaie sur ordinateur en dérobant des identifiants et en affichant des fenêtres superposées trompeuses.
• WinUpdate manipule le contenu du presse-papiers et collecte les phrases de récupération de portefeuilles.
• SoftManager transforme l’ordinateur en proxy inverse pour du trafic contrôlé par les attaquants.
• LockAppHost met en place un mineur de cryptomonnaie avec des privilèges élevés tout en dégradant les fonctions de sécurité et de mise à jour de Windows.

Il s’agit d’exécutables indépendants, et non de plug-ins chargés au sein de REVSTEALER. Elastic les a récupérés au cours de la même investigation et les a associés en raison de caractéristiques de développement communes, notamment un packer partagé, la résolution dynamique des API Windows et l’utilisation de contrats intelligents Polygon pour fournir une configuration de secours.

Cependant, les chercheurs n’ont observé directement aucun des quatre fichiers être distribué à une infection REVSTEALER active. L’attribution repose donc sur des similitudes de code et sur le contexte de l’enquête, plutôt que sur une chaîne d’exécution confirmée.

REVSTEALER peut lancer d’autres programmes en ligne de commande, ce qui constitue un moyen techniquement plausible de déployer ces composants. L’utilisation de ce mécanisme pour ces modules précis n’est toutefois pas établie.

Les superpositions de portefeuilles et le vol du presse-papiers ciblent les utilisateurs de cryptomonnaies

ProManager exploite une caractéristique courante des portefeuilles de cryptomonnaie pour ordinateur : beaucoup sont conçus avec le framework Electron et enregistrent les coordonnées ainsi que les dimensions de leur fenêtre.

Le malware lit ces coordonnées enregistrées, puis place directement du contenu contrôlé par l’attaquant par-dessus la fenêtre légitime du portefeuille. Comme la superposition est alignée sur l’application authentique, les victimes peuvent croire qu’elles utilisent leur portefeuille alors qu’elles interagissent avec une interface malveillante.

ProManager surveille les champs identifiés comme des zones de saisie de mot de passe ou de phrase secrète. Il capture les secrets saisis manuellement ainsi que les valeurs collées depuis le presse-papiers, couvrant à la fois les mots de passe classiques et les identifiants de portefeuille plus longs. Il peut être relancé à l’ouverture de session au moyen d’une clé d’exécution du Registre.

WinUpdate s’attaque à une autre étape des transactions en cryptomonnaie. Il surveille le presse-papiers de Windows à la recherche d’adresses de portefeuille copiées et les remplace par une adresse contrôlée par l’attaquant. Si la victime ne vérifie pas l’intégralité de la destination avant d’autoriser le transfert, les fonds peuvent être envoyés de manière irréversible vers le mauvais portefeuille.

Le module recherche également les textes correspondant au format attendu d’une phrase de récupération de portefeuille. De telles phrases peuvent donner un contrôle total sur un portefeuille, ce qui rend leur vol potentiellement plus grave que la perte du mot de passe d’un compte individuel.

WinUpdate assure principalement sa persistance au moyen d’une tâche planifiée, une clé d’exécution du Registre servant de mécanisme de repli.

LockAppHost laisse les protections de Windows désactivées

LockAppHost tente d’obtenir des privilèges d’administrateur en détournant CMSTP, un utilitaire Windows légitime associé aux profils Connection Manager. Si cette technique échoue, le malware utilise une invite d’élévation standard.

Après avoir obtenu des privilèges élevés, il procède à d’importantes modifications défensives :

• Ajoute des exclusions à Microsoft Defender couvrant les répertoires et les types de fichiers couramment utilisés.
• Désactive cinq services Windows Update.
• Désactive 11 tâches planifiées associées aux mises à jour.
• Désactive deux tâches de suppression des malwares.
• Dissimulе son mineur de cryptomonnaie dans des processus Windows légitimes.

Le composant peut assurer sa persistance au moyen d’une clé d’exécution du Registre ou d’un service Windows. Elastic recommande aux équipes d’intervention de rechercher spécifiquement un mineur dissimulé dans des instances suspendues de nslookup.exe ou svchost.exe.

Supprimer la charge utile de minage ne suffit pas. Les exclusions de Defender et les composants de maintenance désactivés peuvent subsister après la découverte du mineur, laissant le système davantage exposé à de futurs malwares et empêchant l’installation normale des mises à jour de sécurité.

SoftManager crée une catégorie de risque distincte. Il met en place un proxy inverse qui permet aux attaquants d’acheminer du trafic réseau via la connexion de la victime. Cette activité consomme de la bande passante et associe potentiellement des activités malveillantes à l’adresse IP publique ainsi qu’à la réputation réseau de la victime.

SoftManager prend en charge trois options de persistance : un script d’ouverture de session, une tâche planifiée ou une clé d’exécution du Registre.

Les cookies volés peuvent contourner une réinitialisation du mot de passe

Les fonctionnalités de navigation de REVSTEALER vont au-delà de la lecture des mots de passe enregistrés. Pour les comptes Roblox, il déchiffre le cookie de session enregistré, ce qui peut permettre de prendre le contrôle du compte sans connaître le mot de passe.

Le malware peut également contourner la protection App-Bound Encryption de Chrome en lançant le navigateur sous un débogueur et en extrayant de la mémoire la clé de déchiffrement correspondante. Elastic estime que cette implémentation a probablement été adaptée du projet public ElevationKatz.

VoidStealer a utilisé la même approche en mars 2026. Gen Digital, qui a analysé cette campagne, l’a décrite comme la première attaque active observée menée par un infostealer appliquant cette méthode.

Cette fonctionnalité modifie la réponse à adopter. Une réinitialisation du mot de passe peut ne pas invalider un jeton de session déjà dérobé. Les victimes doivent modifier les identifiants exposés et mettre explicitement fin à toutes les sessions actives sur les comptes concernés liés aux navigateurs, aux cryptomonnaies, aux jeux vidéo, à la messagerie et aux gestionnaires de mots de passe.

Les phrases de récupération de portefeuille exigent une réponse encore plus ferme. Si une phrase a pu être collectée, les utilisateurs doivent considérer le portefeuille correspondant comme compromis et transférer les actifs depuis un appareil fiable et sain.

Les triches pour jeux vidéo et les faux logiciels d’IA servent de point d’entrée initial

REVSTEALER est principalement diffusé au moyen d’appâts liés aux triches pour jeux vidéo. Elastic a identifié au moins 17 chaînes YouTube faisant la promotion de deux sites de triche au moyen de courtes vidéos générées par IA. Beaucoup de ces chaînes semblaient avoir été détournées de leurs propriétaires initiaux.

Le malware est également apparu dans des logiciels piratés ou usurpés. Morphisec a documenté le 31 août une fausse application nommée « Claude Opus 5 Free Desktop ». Elle reprenait l’identité visuelle d’Anthropic, mais rien n’indiquait que les systèmes ou les logiciels légitimes d’Anthropic avaient été compromis.

Les utilisateurs doivent obtenir Claude par les canaux de distribution officiels d’Anthropic. Les offres non officielles de versions gratuites de services d’IA payants, les applications piratées et les triches pour jeux vidéo présentent un risque accru de vol d’identifiants.

La règle de détection d’Elastic a identifié environ 4 700 échantillons VirusTotal au cours de l’année écoulée. Ce chiffre correspond aux fichiers détectés par la règle, et non à 4 700 victimes ou installations confirmées.

REVSTEALER vérifie également dix indicateurs de bac à sable et s’arrête lorsque le score cumulé indique un environnement d’analyse. Il refuse de fonctionner sur les systèmes configurés dans l’une des dix langues associées à la Russie et à l’Asie centrale, résout les fonctions Windows sans table d’importation standard et utilise des appels système indirects afin de réduire son exposition aux hooks de sécurité.

Si son serveur de commande et de contrôle principal est indisponible, le malware peut récupérer une adresse de secours depuis un contrat intelligent sur la blockchain Polygon. Cette conception de type EtherHiding rend la suppression de la configuration plus difficile au moyen de simples retraits de domaines.

Indicateurs et priorités d’intervention

Les défenseurs peuvent bloquer et analyser les domaines de commande et de contrôle suivants :

monitor5.roast-core85[.]click
config.hubdisplay[.]lol
health.journal-metric[.]lol
metric.gardenpark[.]click

Les hachages SHA-256 connus sont les suivants :

REVSTEALER:
adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4

ProManager:
13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa

WinUpdate:
7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb

SoftManager:
14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2

LockAppHost:
c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5

Elastic a publié des détections YARA et comportementales. Son ensemble public de règles YARA couvre REVSTEALER, ProManager, WinUpdate et SoftManager, mais pas LockAppHost ; une chasse comportementale est donc nécessaire pour identifier le composant le plus perturbateur.

Les équipes d’intervention doivent examiner les clés d’exécution du Registre, les services, les tâches planifiées et les scripts d’ouverture de session ; analyser les exécutions inattendues de CMSTP ainsi que les événements d’élévation ; et rechercher les superpositions de portefeuilles, les remplacements du presse-papiers, la collecte de phrases de récupération ou un trafic proxy inexpliqué.

Sur les systèmes affectés par LockAppHost, les équipes doivent restaurer les cinq services Windows Update désactivés, réactiver les 11 tâches de mise à jour et les deux tâches de suppression des malwares, puis supprimer les exclusions non autorisées de Defender. Les processus suspendus nslookup.exe et svchost.exe doivent faire l’objet d’un examen immédiat.

Le risque principal réside dans la persistance après un nettoyage en apparence réussi. La découverte de la charge utile autodestructrice de REVSTEALER ne suffit pas à établir que l’hôte est sain.