Il malware per Windows legato a REVSTEALER persiste per rubare criptovalute, inoltrare traffico e minare monete

Elastic Security Labs ha scoperto quattro eseguibili per Windows finora mai documentati associati a REVSTEALER, un infostealer commerciale distribuito soprattutto attraverso cheat per videogiochi e software contraffatti.

I programmi — ProManager, WinUpdate, SoftManager e LockAppHost — estendono l’operazione oltre il furto iniziale perpetrato da REVSTEALER. Si installano nel profilo dell’utente e stabiliscono la persistenza, consentendo alle attività dannose di proseguire anche dopo che l’infostealer principale ha eliminato i propri file.

LockAppHost presenta il rischio operativo maggiore. Eleva i privilegi, installa un miner di criptovalute, indebolisce Microsoft Defender e disabilita i componenti di Windows Update. Queste modifiche alla sicurezza possono rimanere attive anche dopo che gli analisti hanno individuato e rimosso il miner.

Elastic ha pubblicato i risultati dell’analisi e un white paper tecnico il 2 settembre. Gen Threat Labs ha documentato per la prima volta REVSTEALER a luglio, mentre il campione più antico conosciuto è apparso su VirusTotal a febbraio 2026.

Quattro eseguibili persistenti ampliano la compromissione iniziale

REVSTEALER è progettato per raccogliere ed esfiltrare rapidamente i dati. Sottrae password e cookie dei browser, record di Windows Credential Manager, dati dei password manager, documenti selezionati, sessioni di messaggistica, configurazioni VPN e FTP, credenziali di gioco e dati associati a più di 50 wallet di criptovalute.

Al termine della raccolta, il malware comunica con il proprio server di comando e controllo e si rimuove. Questa assenza di persistenza può dare l’impressione errata che la compromissione sia terminata.

I quattro eseguibili correlati si comportano in modo diverso:

• ProManager prende di mira i wallet di criptovalute desktop catturando le credenziali e sovrapponendo finestre ingannevoli.
• WinUpdate manipola i contenuti degli appunti e raccoglie le frasi di recupero dei wallet.
• SoftManager trasforma il computer in un reverse proxy per il traffico controllato dagli aggressori.
• LockAppHost installa un miner di criptovalute con privilegi elevati, indebolendo al contempo le funzioni di sicurezza e aggiornamento di Windows.

Si tratta di eseguibili indipendenti, non di plug-in caricati all’interno di REVSTEALER. Elastic li ha recuperati nel corso della stessa indagine e li ha collegati sulla base di caratteristiche comuni di sviluppo, tra cui un packer condiviso, la risoluzione dinamica delle API di Windows e smart contract Polygon utilizzati per la configurazione di fallback.

I ricercatori, tuttavia, non hanno osservato direttamente nessuno dei quattro file mentre veniva distribuito su un’infezione attiva di REVSTEALER. L’attribuzione si basa quindi sulle analogie nel codice e sul contesto dell’indagine, non su una catena di esecuzione confermata.

REVSTEALER può avviare ulteriori programmi dalla riga di comando, offrendo una modalità tecnicamente plausibile per distribuire i componenti. Non è però noto se questo meccanismo venga utilizzato per questi moduli specifici.

Overlay sui wallet e furto dagli appunti prendono di mira gli utenti di criptovalute

ProManager sfrutta una caratteristica comune dei wallet di criptovalute desktop: molti sono basati sul framework Electron e memorizzano informazioni sulla posizione e sulle dimensioni della finestra.

Il malware legge le coordinate salvate e posiziona quindi contenuti controllati dagli aggressori direttamente sopra la finestra del wallet legittimo. Poiché l’overlay è allineato all’applicazione autentica, le vittime possono credere di interagire con il proprio wallet anziché con un’interfaccia dannosa.

ProManager monitora i campi classificati come input per password o passphrase. Cattura i segreti inseriti manualmente e i valori incollati dagli appunti, coprendo sia le password tradizionali sia le credenziali più lunghe dei wallet. Può riavviarsi all’accesso tramite una chiave Registry Run.

WinUpdate attacca un altro elemento delle transazioni in criptovalute. Sorveglia gli appunti di Windows alla ricerca degli indirizzi dei wallet copiati e sostituisce questi indirizzi con uno controllato dall’aggressore. Se la vittima non confronta l’intera destinazione prima di approvare un trasferimento, i fondi possono essere inviati irreversibilmente al wallet sbagliato.

Il modulo cerca inoltre stringhe di testo che corrispondono al formato previsto per una frase di recupero del wallet. Queste frasi possono garantire il controllo completo di un wallet, rendendone il furto potenzialmente più dannoso della perdita della password di un singolo account.

WinUpdate mantiene la persistenza principalmente tramite un’attività pianificata, mentre una chiave Registry Run funge da meccanismo alternativo.

LockAppHost lascia disabilitate le difese di Windows

LockAppHost tenta di ottenere i privilegi di amministratore abusando di CMSTP, un’utilità legittima di Windows associata ai profili Connection Manager. Se la tecnica non funziona, il malware ricorre a una normale richiesta di elevazione.

Dopo aver ottenuto l’accesso con privilegi elevati, apporta numerose modifiche alle difese:

• Aggiunge esclusioni a Microsoft Defender per directory e tipi di file utilizzati comunemente.
• Disabilita cinque servizi di Windows Update.
• Disabilita 11 attività pianificate associate agli aggiornamenti.
• Disabilita due attività di rimozione del malware.
• Nasconde il miner di criptovalute all’interno di processi legittimi di Windows.

Il componente può mantenere la persistenza tramite una chiave Registry Run o un servizio Windows. Elastic consiglia agli analisti di cercare in modo mirato un miner nascosto in istanze sospese di nslookup.exe o svchost.exe.

Rimuovere il payload di mining non è sufficiente. Le esclusioni di Defender e i componenti di manutenzione disabilitati possono rimanere attivi anche dopo l’individuazione del miner, lasciando il sistema più esposto a futuri malware e impedendo i normali aggiornamenti di sicurezza.

SoftManager crea una categoria di rischio distinta. Configura un reverse proxy che consente agli aggressori di instradare il traffico di rete attraverso la connessione della vittima. Questo consuma banda e associa attività potenzialmente dannose all’indirizzo IP pubblico e alla reputazione di rete della vittima.

SoftManager supporta tre opzioni di persistenza: uno script di accesso, un’attività pianificata o una chiave Registry Run.

I cookie rubati possono aggirare il cambio della password

Le funzionalità di REVSTEALER per i browser vanno oltre la lettura delle password salvate. Per gli account Roblox, decritta il cookie di sessione salvato, consentendo potenzialmente di prendere il controllo dell’account senza che l’aggressore conosca la password.

Il malware può inoltre eludere la protezione App-Bound Encryption di Chrome avviando il browser sotto un debugger ed estraendo dalla memoria la chiave di decrittazione pertinente. Elastic ha valutato che questa implementazione sia stata probabilmente adattata dal progetto pubblico ElevationKatz.

VoidStealer ha utilizzato lo stesso approccio a marzo 2026. Gen Digital, che ha analizzato quella campagna, l’ha descritta come la prima in cui sia stato osservato un infostealer applicare questo metodo durante attacchi reali.

Questa capacità modifica la risposta più appropriata. Il cambio della password potrebbe non invalidare un token di sessione già sottratto. Le vittime dovrebbero modificare le credenziali esposte e terminare esplicitamente tutte le sessioni attive negli account interessati di browser, criptovalute, videogiochi, messaggistica e password manager.

Le frasi di recupero dei wallet richiedono una risposta ancora più incisiva. Se è possibile che una frase sia stata raccolta, gli utenti dovrebbero considerare compromesso il wallet corrispondente e trasferire gli asset utilizzando un dispositivo affidabile e integro.

Cheat per videogiochi e falsi software di intelligenza artificiale forniscono l’accesso iniziale

REVSTEALER viene promosso principalmente attraverso esche che propongono cheat per videogiochi. Elastic ha identificato almeno 17 canali YouTube che pubblicizzavano due siti di cheat tramite brevi video generati dall’intelligenza artificiale. Molti di questi canali sembravano essere stati sottratti ai proprietari originari.

Il malware è comparso anche all’interno di software piratati o contraffatti. Morphisec ha documentato il 31 agosto una falsa applicazione chiamata “Claude Opus 5 Free Desktop”. L’applicazione copiava il marchio di Anthropic, ma non c’erano indicazioni che i sistemi o il software legittimo di Anthropic fossero stati compromessi.

Gli utenti dovrebbero ottenere Claude attraverso i canali ufficiali di distribuzione di Anthropic. Le offerte non ufficiali di versioni gratuite di servizi di intelligenza artificiale a pagamento, applicazioni piratate e cheat per videogiochi comportano un rischio elevato di furto delle credenziali.

La regola di rilevamento di Elastic ha individuato circa 4.700 campioni su VirusTotal nell’ultimo anno. Il numero si riferisce ai file rilevati dalla regola, non a 4.700 vittime o installazioni verificate.

REVSTEALER verifica inoltre dieci indicatori di sandbox ed esce quando il punteggio cumulativo suggerisce la presenza di un ambiente di analisi. Si rifiuta di operare su sistemi configurati con una qualsiasi delle dieci lingue associate alla Russia e all’Asia centrale, risolve le funzioni di Windows senza una normale tabella degli import e utilizza chiamate di sistema indirette per ridurre l’esposizione agli hook di sicurezza.

Se il server primario di comando e controllo non è disponibile, il malware può recuperare un indirizzo di fallback da uno smart contract sulla blockchain Polygon. Questo design, in stile EtherHiding, rende più difficile rimuovere la configurazione tramite i convenzionali takedown dei domini.

Indicatori e priorità di risposta

I difensori possono bloccare e analizzare i seguenti domini di comando e controllo:

monitor5.roast-core85[.]click
config.hubdisplay[.]lol
health.journal-metric[.]lol
metric.gardenpark[.]click

Gli hash SHA-256 conosciuti sono:

REVSTEALER:
adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4

ProManager:
13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa

WinUpdate:
7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb

SoftManager:
14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2

LockAppHost:
c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5

Elastic ha pubblicato rilevamenti YARA e comportamentali. Il set YARA pubblico copre REVSTEALER, ProManager, WinUpdate e SoftManager, ma non LockAppHost; per il componente più dirompente è quindi necessario ricorrere alla ricerca comportamentale.

Gli analisti che rispondono agli incidenti dovrebbero controllare le chiavi Registry Run, i servizi, le attività pianificate e gli script di accesso; analizzare le esecuzioni inattese di CMSTP e gli eventi di elevazione; e cercare overlay sui wallet, sostituzioni del contenuto degli appunti, raccolta di frasi di recupero o traffico proxy non spiegato.

Nei sistemi interessati da LockAppHost, i team dovrebbero ripristinare i cinque servizi di Windows Update disabilitati, riattivare le 11 attività di aggiornamento e le due attività di rimozione del malware e rimuovere le esclusioni non autorizzate di Defender. I processi sospesi nslookup.exe e svchost.exe meritano un’analisi immediata.

Il rischio principale è la persistenza dopo una pulizia apparentemente riuscita. Trovare il payload di REVSTEALER, che si elimina da solo, non dimostra che l’host sia integro.