Elastic Security Labs hat vier bisher nicht dokumentierte Programme identifiziert, die im Umfeld des Informationsdiebes REVSTEALER auftreten und nach der Selbstlöschung des Stealers auf dem infizierten System verbleiben. Besonders brisant: Eine dieser Komponenten namens LockAppHost deaktiviert Windows Update und Microsoft Defender gezielt, um anschließend einen Krypto-Miner mit Administratorrechten auszuführen.
LockAppHost: Der Miner unterdrückt Schutzmechanismen
LockAppHost ist das aggressivste der vier neu entdeckten Module. Um Administratorrechte zu erlangen, missbraucht es das Windows-Tool CMSTP – ein Fallback auf einen Standard-UAC-Dialog ist ebenfalls vorgesehen. Nach der Rechteausweitung nimmt LockAppHost tiefgreifende Änderungen am System vor: Es fügt Microsoft Defender-Ausschlüsse für gängige Ordner und Dateitypen hinzu, deaktiviert fünf Windows-Update-Dienste, unterbricht elf geplante Update-Aufgaben sowie zwei Aufgaben zur Malware-Entfernung. Anschließend tarnt der Miner sich, indem er in legitime Windows-Prozesse wie nslookup.exe oder svchost.exe eingebettet wird. Die geschwächten Sicherheitseinstellungen bleiben auch bestehen, nachdem der Miner selbst entdeckt wurde.
Die Persistenz sichert LockAppHost entweder über einen Registry-Run-Key oder als Windows-Dienst. Damit läuft das Modul dauerhaft und kann selbst nach einem Neustart seine schädliche Arbeit fortsetzen. Administratoren, die eine Infektion mit LockAppHost vermuten, müssen daher nach der Bereinigung die abgeschalteten Update-Dienste und Aufgaben reaktivieren sowie die Defender-Ausschlüsse entfernen.
ProManager, WinUpdate und SoftManager: Weitere Komponenten im Detail
Neben LockAppHost dokumentierte Elastic drei weitere Programme, die auf dem infizierten Rechner verbleiben:
ProManager – Krypto-Wallet-Diebstahl und Overlay-Angriff
ProManager stiehlt Wallet-Dateien und Browser-Erweiterungen für Kryptowährungen. Besonders raffiniert ist die Overlay-Technik: Da die meisten Desktop-Wallets auf dem Electron-Framework basieren, liest ProManager die Fensterposition der Wallet-Anwendung aus und legt ein identisch großes, vom Angreifer kontrolliertes Fenster darüber. Das Opfer tippt Passwörter oder Passphrasen in die gefälschte Oberfläche, die vom Modul aufgezeichnet werden. Zusätzlich protokolliert ProManager alle Eingaben, die der Nutzer in als Passwort- oder Passphrase-Felder erkannte Bereiche tippt oder einfügt.
WinUpdate – Clipboard-Hijacking und Wiederherstellungsphrasen
WinUpdate überwacht die Zwischenablage und ersetzt kopierte Kryptowährungsadressen durch die des Angreifers. Zudem sammelt es Text, der wie eine Wallet-Wiederherstellungsphrase aussieht. Die Persistenz erfolgt über eine geplante Aufgabe, mit einem Registry-Run-Key als Fallback.
SoftManager – Reverse-Proxy für den Angreifer
SoftManager verwandelt den infizierten Rechner in einen Reverse-Proxy. Der Angreifer kann seinen eigenen Netzwerkverkehr durch die Verbindung des Opfers leiten – nützlich zur Verschleierung eigener Aktivitäten oder zum Umgehen von IP-Sperren. Die Persistenz wird über ein Logon-Skript, eine geplante Aufgabe oder einen Registry-Run-Key realisiert.
REVSTEALER: Verbreitung, Technik und Abwehr
Der zugrunde liegende Infostealer REVSTEALER wird seit mindestens Februar 2026 als kommerzielles Produkt verkauft. Er sammelt Browser-Passwörter und -Cookies, Daten aus über 50 Kryptowallet-Programmen und -Erweiterungen, Sitzungsdaten von Telegram, VPN- und FTP-Konfigurationen, den Windows-Anmeldeinformations-Manager sowie ausgewählte Dokumente. Für einige Spieleplattformen, etwa Roblox, entschlüsselt er das gespeicherte Sitzungs-Cookie, sodass Angreifer das Konto ohne Passwort übernehmen können.
Um die von Chrome geschützte App-Bound-Verschlüsselung zu umgehen, startet REVSTEALER den Browser im Debugger-Modus und liest den Entschlüsselungsschlüssel aus dem Arbeitsspeicher aus – eine Technik, die zuvor bereits bei VoidStealer beobachtet wurde. Die Verbreitung erfolgt vor allem über Lockvideos auf YouTube, die vermeintliche Cheats für Spiele bewerben. Elastic identifizierte mindestens 17 YouTube-Kanäle, die – teils nach Kontoübernahme – mittels KI-generierter Kurzvideos auf zwei betrügerische Cheat-Websites verlinkten. Auch als angebliches „Claude Opus 5 Free Desktop“-Programm wurde REVSTEALER verbreitet, das die Marke von Anthropic kopierte.
Schutzmassnahmen und Indikatoren einer Infektion
Um eine Infektion zu vermeiden, sollten Anwender keine „kostenlosen“ oder inoffiziellen Versionen von KI-Tools oder Spiel-Cheats herunterladen und ausschließlich die offiziellen Quellen nutzen. Elastic hat YARA-Regeln sowie Verhaltensregeln veröffentlicht, die den Kern-Stealer sowie die Module ProManager, SoftManager und WinUpdate abdecken – jedoch nicht LockAppHost.
Da der Stealer sich selbst löscht, kann eine Infektion äußerlich abgeschlossen erscheinen, während die Module im Hintergrund weiterlaufen. Folgende Kompromittierungsindikatoren (Indicators of Compromise, IoCs) sind bekannt:
- SHA-256 REVSTEALER: adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4
- SHA-256 ProManager: 13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa
- SHA-256 WinUpdate: 7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb
- SHA-256 SoftManager: 14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2
- SHA-256 LockAppHost: c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5
- Domains: monitor5.roast-core85[.]click, config.hubdisplay[.]lol, health.journal-metric[.]lol, metric.gardenpark[.]click
Betroffene Nutzer sollten nach einer Infektion nicht nur Passwörter zurücksetzen, sondern sämtliche aktiven Sitzungen auf ihren Konten beenden, da der Stealer Sitzungs-Cookies und den Chrome-App-Bound-Schlüssel erbeutet hat. Die Wiederherstellung der Systemhärte – Reaktivierung von Windows Update, Entfernung von Defender-Ausschlüssen und Suche nach versteckten Minern – ist essenziell, um die Kontrolle zurückzugewinnen und Folgeschäden zu verhindern.
Der vollständige technische Bericht von Elastic Security Labs liefert darüber hinaus tiefergehende Analyse der Build-Tradecraft, darunter die Nutzung von Polygon-Smart-Contracts als ausfallsichere C2-Kommunikation und die Widerstandsfähigkeit gegenüber Sandbox-Analysen. Diese Bedrohung zeigt, wie kommerzielle Infostealer zunehmend modulare Nachladekomponenten integrieren, die weit über den reinen Datendiebstahl hinausgehen – ein Trend, der Sicherheitsteams zu einer ganzheitlichen Untersuchung zwingt, selbst wenn der ursprüngliche Stealer bereits entfernt wurde.
