{"id":51431,"date":"2026-09-07T02:43:27","date_gmt":"2026-09-07T00:43:27","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51431"},"modified":"2026-09-07T02:43:27","modified_gmt":"2026-09-07T00:43:27","slug":"lockapphost-revstealer-malware-51431","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/lockapphost-revstealer-malware-51431\/","title":{"rendered":"LockAppHost deaktiviert Windows Update und Defender f\u00fcr Krypto-Miner"},"content":{"rendered":"

Elastic Security Labs hat vier bisher nicht dokumentierte Programme identifiziert, die im Umfeld des Informationsdiebes REVSTEALER auftreten und nach der Selbstl\u00f6schung des Stealers auf dem infizierten System verbleiben. Besonders brisant: Eine dieser Komponenten namens LockAppHost<\/strong> deaktiviert Windows Update und Microsoft<\/a> Defender gezielt, um anschlie\u00dfend einen Krypto-Miner mit Administratorrechten auszuf\u00fchren.<\/p>\n

LockAppHost: Der Miner unterdr\u00fcckt Schutzmechanismen<\/h2>\n

LockAppHost ist das aggressivste der vier neu entdeckten Module. Um Administratorrechte zu erlangen, missbraucht es das Windows-Tool CMSTP \u2013 ein Fallback auf einen Standard-UAC-Dialog ist ebenfalls vorgesehen. Nach der Rechteausweitung nimmt LockAppHost tiefgreifende \u00c4nderungen am System vor: Es f\u00fcgt Microsoft Defender-Ausschl\u00fcsse f\u00fcr g\u00e4ngige Ordner und Dateitypen hinzu, deaktiviert f\u00fcnf Windows-Update-Dienste, unterbricht elf geplante Update-Aufgaben sowie zwei Aufgaben zur Malware-Entfernung. Anschlie\u00dfend tarnt der Miner sich, indem er in legitime Windows-Prozesse wie nslookup.exe oder svchost.exe eingebettet wird. Die geschw\u00e4chten Sicherheitseinstellungen bleiben auch bestehen, nachdem der Miner selbst entdeckt wurde.<\/p>\n

Die Persistenz sichert LockAppHost entweder \u00fcber einen Registry-Run-Key oder als Windows-Dienst. Damit l\u00e4uft das Modul dauerhaft und kann selbst nach einem Neustart seine sch\u00e4dliche Arbeit fortsetzen. Administratoren, die eine Infektion mit LockAppHost vermuten, m\u00fcssen daher nach der Bereinigung die abgeschalteten Update-Dienste und Aufgaben reaktivieren sowie die Defender-Ausschl\u00fcsse entfernen.<\/p>\n

ProManager, WinUpdate und SoftManager: Weitere Komponenten im Detail<\/h3>\n

Neben LockAppHost dokumentierte Elastic drei weitere Programme, die auf dem infizierten Rechner verbleiben:<\/p>\n

ProManager \u2013 Krypto-Wallet-Diebstahl und Overlay-Angriff<\/h4>\n

ProManager stiehlt Wallet-Dateien und Browser-Erweiterungen f\u00fcr Kryptow\u00e4hrungen. Besonders raffiniert ist die Overlay-Technik: Da die meisten Desktop-Wallets auf dem Electron-Framework basieren, liest ProManager die Fensterposition der Wallet-Anwendung aus und legt ein identisch gro\u00dfes, vom Angreifer kontrolliertes Fenster dar\u00fcber. Das Opfer tippt Passw\u00f6rter oder Passphrasen in die gef\u00e4lschte Oberfl\u00e4che, die vom Modul aufgezeichnet werden. Zus\u00e4tzlich protokolliert ProManager alle Eingaben, die der Nutzer in als Passwort- oder Passphrase-Felder erkannte Bereiche tippt oder einf\u00fcgt.<\/p>\n

WinUpdate \u2013 Clipboard-Hijacking und Wiederherstellungsphrasen<\/h4>\n

WinUpdate \u00fcberwacht die Zwischenablage und ersetzt kopierte Kryptow\u00e4hrungsadressen durch die des Angreifers. Zudem sammelt es Text, der wie eine Wallet-Wiederherstellungsphrase aussieht. Die Persistenz erfolgt \u00fcber eine geplante Aufgabe, mit einem Registry-Run-Key als Fallback.<\/p>\n

SoftManager \u2013 Reverse-Proxy f\u00fcr den Angreifer<\/h4>\n

SoftManager verwandelt den infizierten Rechner in einen Reverse-Proxy. Der Angreifer kann seinen eigenen Netzwerkverkehr durch die Verbindung des Opfers leiten \u2013 n\u00fctzlich zur Verschleierung eigener Aktivit\u00e4ten oder zum Umgehen von IP-Sperren. Die Persistenz wird \u00fcber ein Logon-Skript, eine geplante Aufgabe oder einen Registry-Run-Key realisiert.<\/p>\n

REVSTEALER: Verbreitung, Technik und Abwehr<\/h2>\n

Der zugrunde liegende Infostealer REVSTEALER wird seit mindestens Februar 2026 als kommerzielles Produkt verkauft. Er sammelt Browser-Passw\u00f6rter und -Cookies, Daten aus \u00fcber 50 Kryptowallet-Programmen und -Erweiterungen, Sitzungsdaten von Telegram, VPN- und FTP-Konfigurationen, den Windows-Anmeldeinformations-Manager sowie ausgew\u00e4hlte Dokumente. F\u00fcr einige Spieleplattformen, etwa Roblox, entschl\u00fcsselt er das gespeicherte Sitzungs-Cookie, sodass Angreifer das Konto ohne Passwort \u00fcbernehmen k\u00f6nnen.<\/p>\n

Um die von Chrome gesch\u00fctzte App-Bound-Verschl\u00fcsselung zu umgehen, startet REVSTEALER den Browser im Debugger-Modus und liest den Entschl\u00fcsselungsschl\u00fcssel aus dem Arbeitsspeicher aus \u2013 eine Technik, die zuvor bereits bei VoidStealer beobachtet wurde. Die Verbreitung erfolgt vor allem \u00fcber Lockvideos auf YouTube, die vermeintliche Cheats f\u00fcr Spiele bewerben. Elastic identifizierte mindestens 17 YouTube-Kan\u00e4le, die \u2013 teils nach Konto\u00fcbernahme \u2013 mittels KI-generierter Kurzvideos auf zwei betr\u00fcgerische Cheat-Websites verlinkten. Auch als angebliches \u201eClaude Opus 5 Free Desktop\u201c-Programm wurde REVSTEALER verbreitet, das die Marke von Anthropic kopierte.<\/p>\n

Schutzmassnahmen und Indikatoren einer Infektion<\/h3>\n

Um eine Infektion zu vermeiden, sollten Anwender keine \u201ekostenlosen\u201c oder inoffiziellen Versionen von KI-Tools oder Spiel-Cheats herunterladen und ausschlie\u00dflich die offiziellen Quellen nutzen. Elastic hat YARA-Regeln sowie Verhaltensregeln ver\u00f6ffentlicht, die den Kern-Stealer sowie die Module ProManager, SoftManager und WinUpdate abdecken \u2013 jedoch nicht LockAppHost.<\/p>\n

Da der Stealer sich selbst l\u00f6scht, kann eine Infektion \u00e4u\u00dferlich abgeschlossen erscheinen, w\u00e4hrend die Module im Hintergrund weiterlaufen. Folgende Kompromittierungsindikatoren (Indicators of Compromise, IoCs) sind bekannt:<\/p>\n

    \n
  • SHA-256<\/strong> REVSTEALER: adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4<\/li>\n
  • SHA-256<\/strong> ProManager: 13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa<\/li>\n
  • SHA-256<\/strong> WinUpdate: 7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb<\/li>\n
  • SHA-256<\/strong> SoftManager: 14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2<\/li>\n
  • SHA-256<\/strong> LockAppHost: c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5<\/li>\n
  • Domains:<\/strong> monitor5.roast-core85[.]click, config.hubdisplay[.]lol, health.journal-metric[.]lol, metric.gardenpark[.]click<\/li>\n<\/ul>\n

    Betroffene Nutzer sollten nach einer Infektion nicht nur Passw\u00f6rter zur\u00fccksetzen, sondern s\u00e4mtliche aktiven Sitzungen auf ihren Konten beenden, da der Stealer Sitzungs-Cookies und den Chrome-App-Bound-Schl\u00fcssel erbeutet hat. Die Wiederherstellung der Systemh\u00e4rte \u2013 Reaktivierung von Windows Update, Entfernung von Defender-Ausschl\u00fcssen und Suche nach versteckten Minern \u2013 ist essenziell, um die Kontrolle zur\u00fcckzugewinnen und Folgesch\u00e4den zu verhindern.<\/p>\n

    Der vollst\u00e4ndige technische Bericht von Elastic Security Labs liefert dar\u00fcber hinaus tiefergehende Analyse der Build-Tradecraft, darunter die Nutzung von Polygon-Smart-Contracts als ausfallsichere C2-Kommunikation und die Widerstandsf\u00e4higkeit gegen\u00fcber Sandbox-Analysen. Diese Bedrohung zeigt, wie kommerzielle Infostealer zunehmend modulare Nachladekomponenten integrieren, die weit \u00fcber den reinen Datendiebstahl hinausgehen \u2013 ein Trend, der Sicherheitsteams zu einer ganzheitlichen Untersuchung zwingt, selbst wenn der urspr\u00fcngliche Stealer bereits entfernt wurde.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Elastic Security Labs hat vier bisher nicht dokumentierte Programme identifiziert, die im Umfeld des Informationsdiebes REVSTEALER auftreten und nach der Selbstl\u00f6schung des Stealers auf dem infizierten System verbleiben. Besonders brisant: Eine dieser Komponenten namens LockAppHost deaktiviert Windows Update und Microsoft Defender gezielt, um anschlie\u00dfend einen Krypto-Miner mit Administratorrechten auszuf\u00fchren. LockAppHost: Der Miner unterdr\u00fcckt Schutzmechanismen LockAppHost […]<\/p>\n","protected":false},"author":5,"featured_media":54059,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51431.png","fifu_image_alt":"LockAppHost deaktiviert Windows Update und Defender f\u00fcr Krypto-Miner","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51431","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51431.png","fifu_image_alt":"LockAppHost deaktiviert Windows Update und Defender f\u00fcr Krypto-Miner","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51431","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51431"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51431\/revisions"}],"predecessor-version":[{"id":51432,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51431\/revisions\/51432"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54059"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51431"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51431"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51431"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}