Sun, 06 Sep 2026
← VoltarO Elastic Security Labs documentou quatro programas anteriormente não relatados associados ao REVSTEALER, um ladrão emergente de informações do Windows, que permanecem em uma máquina infectada depois que o ladrão se exclui. Um deles desliga o Windows Update e o Microsoft Defender antes de executar uma criptomoeda
O Elastic Security Labs documentou quatro programas anteriormente não relatados associados ao REVSTEALER, um ladrão emergente de informações do Windows, que permanecem em uma máquina infectada depois que o ladrão se exclui. Um deles desativa o Windows Update e o Microsoft Defender antes de executar um minerador de criptomoedas. A empresa nomeou os quatro programas ProManager, WinUpdate, SoftManager e LockAppHost e publicou as descobertas em 2 de setembro, juntamente com um white paper técnico. REVSTEALER é vendido como infostealer comercial desde pelo menos fevereiro de 2026, quando a primeira amostra foi detectada pela primeira vez no VirusTotal.
O principal ladrão exfiltra senhas e cookies de navegadores, carteiras de criptomoedas, contas de jogos, dados de mensagens e arquivos e, em seguida, reporta "completo" ao seu servidor, exclui-se e não deixa persistência. Os quatro programas recentemente documentados funcionam de forma diferente. Cada um se instala no perfil do usuário e lá permanece. A Elastic recuperou os quatro programas da mesma investigação que o REVSTEALER e descobriu que eles compartilham sua habilidade de construção, incluindo o mesmo empacotador, resolução de função de tempo de execução e o uso de contratos inteligentes Polygon para configuração de backup.
O ladrão de núcleo também pode baixar e executar executáveis adicionais na linha de comando. A Elastic não relatou ter visto nenhum dos quatro entregues em um host REVSTEALER ativo, portanto, a conexão depende de código compartilhado e contexto investigativo, em vez de uma transferência observada. A empresa descreve os componentes como um “conjunto de atividades” e observa que são executáveis separados, e não plug-ins carregados no próprio ladrão. O que cada programa faz, na conta da Elastic: LockAppHost é o mais perturbador dos quatro.
Para obter direitos de administrador, ele abusa da ferramenta CMSTP do Windows, recorrendo a um prompt de elevação padrão se isso falhar. Uma vez elevado, ele adiciona exclusões do Microsoft Defender para pastas e tipos de arquivos comuns, desativa 5 serviços do Windows Update, desativa 11 tarefas de atualização agendadas e 2 tarefas de remoção de malware e, em seguida, oculta um minerador em processos legítimos do Windows. As alterações feitas para enfraquecer as defesas da máquina permanecem após o mineiro ser encontrado. O ProManager tem como alvo usuários de carteiras de criptomoedas para desktop.
Como a maioria dessas carteiras é construída com a estrutura Electron, o ProManager lê a posição salva da janela da carteira e abre o conteúdo fornecido pelo invasor, dimensionado e posicionado para se sobrepor à carteira real, sem tocar no próprio programa da carteira. Uma parte separada do módulo registra o que o usuário digita nos campos de senha e frase secreta, incluindo valores colados da área de transferência. Antes mesmo de os módulos chegarem, o REVSTEALER lança uma ampla rede. Ele coleta senhas e cookies do navegador; arquivos de mais de 50 carteiras de criptomoedas e um grande conjunto de extensões de navegador de carteira; dados de sessão do Telegram e outros clientes de mensagens; Configuração de VPN e FTP; o Gerenciador de Credenciais do Windows; gerenciadores de senhas; e documentos selecionados.
Para algumas plataformas de jogos, vai além. Ele descriptografa o cookie de sessão Roblox armazenado, permitindo que um invasor assuma o controle da conta sem a senha. Para obter credenciais que o Chrome protege com criptografia vinculada ao aplicativo, o REVSTEALER inicia o navegador em um depurador e lê a chave de descriptografia da memória. Esta não é uma técnica nova, nem é exclusiva do REVSTEALER.
A Elastic disse que provavelmente foi adaptado do projeto público ElevationKatz e também foi usado por outro ladrão, VoidStealer, em março de 2026. A Gen Digital, que analisou o VoidStealer, descreveu-o como o primeiro infostealer visto usando a técnica na natureza. REVSTEALER atinge as vítimas principalmente por meio de iscas de trapaça de jogos. A Elastic identificou pelo menos 17 canais do YouTube, muitos dos quais foram sequestrados de seus proprietários originais, que promoviam dois sites fraudulentos usando vídeos curtos gerados por IA.
O malware também foi empacotado como software pirata ou falsificado, incluindo um aplicativo falso “Claude Opus 5 Free Desktop” que a Morphisec documentou em 31 de agosto. Esse aplicativo copiou a marca da Anthropic e não há indicação de que a própria Anthropic tenha sido comprometida. A regra de detecção da Elastic correspondeu a cerca de 4.700 amostras no VirusTotal no ano passado, uma contagem de arquivos em vez de infecções confirmadas. REVSTEALER foi construído para resistir à análise.
Ele pontua a máquina em 10 verificações de sandbox e para se o total for muito alto, e termina em sistemas configurados para um dos 10 idiomas usados na Rússia e na Ásia Central. Ele resolve funções do Windows sem uma tabela de importação normal e chama o kernel por meio de chamadas indiretas do sistema para ignorar os ganchos instalados pelos produtos de segurança. Se seu servidor de comando principal estiver inacessível, ele lê um endereço de backup de um contrato inteligente no blockchain Polygon, um método resistente a quedas conhecido como EtherHiding. As compilações descompactadas também mostram uma janela de verificação que solicita um código aleatório de seis caracteres antes da execução, uma porta contra a análise automatizada que a Elastic compara ao Lumma Stealer e ao AuraStealer.
Para reduzir o risco de infecção, evite baixar versões “gratuitas” ou não oficiais de ferramentas de IA pagas e cheats de jogos, e instale Claude apenas nos canais oficiais da Anthropic. A Elastic publicou regras YARA e regras de comportamento e um conjunto de indicadores para detecção e bloqueio. O arquivo público YARA cobre o core stealer e os módulos ProManager, SoftManager e WinUpdate, mas não inclui uma regra para LockAppHost, o módulo de mineração. Como o ladrão de núcleo se autoexclui, uma infecção pode parecer completa enquanto os módulos continuam em execução.
Onde o LockAppHost foi executado, os respondentes devem reativar os serviços do Windows Update e as tarefas agendadas que ele desativou, remover as exclusões do Microsoft Defender adicionadas e procurar um minerador oculto em uma instância suspensa de nslookup.exe ou svchost.exe. Como o ladrão obtém cookies de sessão e a chave de criptografia vinculada ao aplicativo do Chrome, os usuários afetados devem alterar as senhas e encerrar as sessões ativas em suas contas, em vez de presumir que uma redefinição de senha é suficiente. Indicadores selecionados de comprometimento: O Gen Threat Labs documentou pela primeira vez o REVSTEALER em julho. O relatório e o white paper da Elastic são o relato público mais completo do malware até o momento.
Veja como testar novos CVEs em seu ambiente, confirmar o que os invasores podem realmente explorar e corrigir as exposições que representam o maior risco. Aprenda como identificar riscos exploráveis com mais rapidez, priorizar o que é mais importante e reduzir a exposição antes que ataques alimentados por IA acelerem a ameaça. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.