A Elastic Security Labs documentou quatro programas até então não relatados associados ao REVSTEALER, um novo infostealer para Windows, que permanecem na máquina infectada depois que o ladrão de dados se apaga.
Um deles desativa o Windows Update e o Microsoft Defender antes de executar um minerador de criptomoedas.
A empresa batizou os quatro programas de ProManager, WinUpdate, SoftManager e LockAppHost e publicou os achados em 2 de setembro, junto com um white paper técnico. O REVSTEALER vem sendo vendido como um infostealer comercial desde, no mínimo, fevereiro de 2026, quando a primeira amostra foi detectada no VirusTotal.
O ladrão principal exfiltra senhas e cookies de navegadores, carteiras de criptomoedas, contas de jogos, dados de mensagens e arquivos. Em seguida, informa “concluído” ao servidor, se apaga e não deixa persistência. Os quatro programas recém-documentados funcionam de outra forma. Cada um se instala no perfil do usuário e permanece ativo.
A Elastic recuperou os quatro programas na mesma investigação do REVSTEALER e identificou que eles compartilham a mesma engenharia de construção, incluindo o mesmo packer, a resolução de funções em tempo de execução e o uso de smart contracts da Polygon para configuração de backup.
O ladrão principal também pode baixar e executar executáveis adicionais via linha de comando. A Elastic não informou ter visto nenhum dos quatro sendo entregue a um host REVSTEALER em atividade, de modo que a ligação se baseia em código compartilhado e no contexto da investigação, e não em uma transferência observada.
A empresa descreve os componentes como um “conjunto de atividades” e ressalta que eles são executáveis separados, não plug-ins carregados dentro do próprio ladrão.
O que faz cada programa, segundo a Elastic:
ProManager: rouba arquivos de carteiras e extensões de carteira em navegadores, exibe conteúdo controlado pelo atacante sobre a janela de um aplicativo de carteira e registra senhas digitadas ou coladas em campos identificados como entrada de senha ou frase-semente. Persistência por chave Run no Registro.
WinUpdate: monitora a área de transferência, substitui endereços de criptomoedas copiados pelos do atacante e coleta texto que pareça uma frase de recuperação de carteira. Persistência por tarefa agendada, com chave Run no Registro como alternativa.
SoftManager: transforma a máquina em um proxy reverso que roteia o tráfego de rede do atacante pela conexão da vítima. Persistência por script de logon, tarefa agendada ou chave Run no Registro.
LockAppHost: executa um minerador de criptomoedas com privilégios de administrador depois de desativar o Windows Update e excluir pastas do Microsoft Defender. Persistência por chave Run no Registro ou por um serviço.
O LockAppHost é o mais destrutivo dos quatro. Para obter privilégios de administrador, ele abusa da ferramenta CMSTP do Windows e, se isso falhar, recorre a um prompt de elevação padrão.
Depois de elevado, adiciona exclusões no Microsoft Defender para pastas e tipos de arquivo comuns, desativa cinco serviços do Windows Update, desativa 11 tarefas agendadas de atualização e duas tarefas de remoção de malware e, então, oculta um minerador dentro de processos legítimos do Windows. As alterações feitas para enfraquecer as defesas da máquina permanecem mesmo após a descoberta do minerador.
O ProManager mira usuários de carteiras de criptomoedas para desktop. Como grande parte dessas carteiras é construída com o framework Electron, o ProManager lê a posição salva da janela da carteira e abre conteúdo fornecido pelo atacante, com tamanho e posição ajustados para sobrepor a carteira real, sem tocar no programa em si.
Outra parte do módulo registra o que o usuário digita em campos de senha e frase-semente, inclusive valores colados da área de transferência.
Antes mesmo de os módulos chegarem à vítima, o REVSTEALER faz uma coleta ampla. Ele reúne senhas e cookies de navegadores, arquivos de mais de 50 carteiras de criptomoedas e um grande conjunto de extensões de carteira para navegadores, dados de sessão do Telegram e de outros clientes de mensagens, configuração de VPN e FTP, o Windows Credential Manager, gerenciadores de senhas e documentos selecionados.
Em algumas plataformas de jogos, ele vai além. O malware descriptografa o cookie de sessão armazenado do Roblox, permitindo que o atacante assuma a conta sem a senha.
Para obter credenciais que o Chrome protege com App-Bound Encryption, o REVSTEALER abre o navegador em um depurador e lê a chave de descriptografia da memória. A técnica não é nova nem exclusiva do REVSTEALER.
A Elastic disse que ela provavelmente foi adaptada do projeto público ElevationKatz e também foi usada por outro stealer, o VoidStealer, em março de 2026. A Gen Digital, que analisou o VoidStealer, o descreveu como o primeiro infostealer visto usando a técnica em ambiente real.
O REVSTEALER chega às vítimas principalmente por meio de iscas ligadas a cheats de jogos. A Elastic identificou pelo menos 17 canais no YouTube, muitos deles sequestrados de seus donos originais, que promoviam dois sites de cheats usando vídeos curtos gerados por IA.
O malware também foi empacotado como software pirata ou falsificado, incluindo uma falsa aplicação “Claude Opus 5 Free Desktop”, documentada pela Morphisec em 31 de agosto. Esse aplicativo copiava a marca da Anthropic, e não há indícios de que a Anthropic tenha sido comprometida. A regra de detecção da Elastic correspondeu a cerca de 4.700 amostras no VirusTotal ao longo do último ano, um número de arquivos e não de infecções confirmadas.
O REVSTEALER é construído para resistir à análise. Ele pontua a máquina com base em 10 verificações de sandbox e interrompe a execução se o total for alto demais. Também se encerra em sistemas configurados em um de 10 idiomas usados na Rússia e na Ásia Central.
Ele resolve funções do Windows sem uma tabela de importação normal e chama o kernel por meio de chamadas de sistema indiretas para burlar os ganchos instalados por produtos de segurança. Se seu servidor principal de comando não estiver acessível, ele lê um endereço de backup em um smart contract na blockchain Polygon, um método resistente a remoções conhecido como EtherHiding.
Compilações desempacotadas também mostram uma janela de verificação que pede um código aleatório de seis caracteres antes da execução, uma barreira contra análise automatizada que a Elastic compara ao Lumma Stealer e ao AuraStealer.
Para reduzir o risco de infecção, evite baixar versões “gratuitas” ou não oficiais de ferramentas de IA pagas e de cheats de jogos, e instale o Claude apenas pelos canais oficiais da Anthropic.
A Elastic publicou regras YARA, regras comportamentais e um conjunto de indicadores para detecção e bloqueio. O arquivo YARA público cobre o ladrão principal e os módulos ProManager, SoftManager e WinUpdate, mas não inclui uma regra para o LockAppHost, o módulo de mineração.
Como o ladrão principal se apaga sozinho, uma infecção pode parecer encerrada enquanto os módulos continuam em execução. Nos casos em que o LockAppHost tiver atuado, as equipes de resposta devem reativar os serviços e tarefas agendadas do Windows Update que ele desativou, remover as exclusões do Microsoft Defender que ele adicionou e procurar um minerador escondido em uma instância suspensa de nslookup.exe ou svchost.exe.
Como o stealer captura cookies de sessão e a chave do Chrome App-Bound Encryption, usuários afetados devem trocar senhas e encerrar sessões ativas em suas contas, em vez de presumir que apenas redefinir a senha será suficiente.
Indicadores de comprometimento selecionados:
SHA-256: adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4 (REVSTEALER)
SHA-256: 13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa (ProManager)
SHA-256: 7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb (WinUpdate)
SHA-256: 14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2 (SoftManager)
SHA-256: c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5 (LockAppHost)
Domínio: monitor5.roast-core85[.]click (C2 do REVSTEALER)
Domínio: config.hubdisplay[.]lol (C2 do ProManager)
Domínio: health.journal-metric[.]lol (C2 do WinUpdate)
Domínio: metric.gardenpark[.]click (C2 do SoftManager)
A Gen Threat Labs documentou o REVSTEALER pela primeira vez em julho. O relatório e o white paper da Elastic são o panorama público mais completo já publicado sobre o malware.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...