Vier REVSTEALER-Module schalten Defender ab, um Krypto zu minen

Die REVSTEALER-Malware verfügt über vier Begleitmodule, die auf infizierten Windows-Rechnern aktiv bleiben, lange nachdem sich der Kerntrojaner selbst gelöscht hat, so Elastic Security Labs in einer am 2. September veröffentlichten Analyse. Eines dieser Module, LockAppHost, deaktiviert 5 Windows-Update-Dienste, beendet 11 geplante Update-Aufgaben, entfernt die Schutzmechanismen von Microsoft Defender und versteckt einen Kryptowährungs-Miner in Prozessen, die Windows selbst betreibt. Elastic benannte alle vier Programme (ProManager, WinUpdate, SoftManager und LockAppHost) in einem technischen Whitepaper zu REVSTEALER, einem kommerziellen Infostealer, der seit mindestens Februar 2026 verkauft wird.

Der Kerntrojaner verschwindet. Der Schaden bleibt.

Die Hauptnutzlast von REVSTEALER sammelt Browser-Passwörter und Cookies, Dateien aus mehr als 50 Kryptowährungs-Wallets, Sitzungsdaten von Telegram und anderen Messaging-Clients, VPN- und FTP-Konfigurationen, Windows-Anmeldeinformationsverwaltungsdaten und ausgewählte Dokumente. Bei Roblox geht die Malware noch weiter: Sie entschlüsselt das gespeicherte Sitzungs-Cookie, sodass ein Angreifer das Konto übernehmen kann, ohne jemals das Passwort zu kennen. Auch Chromes App-Bound Encryption ist kein wirksames Hindernis. Der Stealer startet den Browser in einem Debugger-Prozess und liest den Entschlüsselungsschlüssel direkt aus dem Speicher.

Laut Elastic wurde diese Chrome-Technik wahrscheinlich vom öffentlichen ElevationKatz-Projekt übernommen. VoidStealer verwendete denselben Ansatz im März 2026, und Gen Digital beschrieb ihn damals als den ersten Infostealer, der diese Methode in freier Wildbahn einsetzte. Nachdem alle Daten abgegriffen wurden, meldet REVSTEALER den Erfolg an seinen Server, löscht sich selbst und hinterlässt keine Persistenzmarkierungen auf der Festplatte. Was zurückbleibt, sind vier Module, die bereits im Benutzerprofil installiert sind und still weiterlaufen, während der Rechner sauber erscheint.

Was LockAppHost, ProManager und die anderen Module tatsächlich tun

Jedes Modul ist eine eigenständige ausführbare Datei, die sich unabhängig im Benutzerprofil installiert. Elastic konnte alle vier im Rahmen derselben REVSTEALER-Untersuchung sicherstellen und die Verbindung durch gemeinsamen Code nachweisen: derselbe Packer, dieselbe Technik zur Funktionsauflösung zur Laufzeit, dieselbe Polygon-Smart-Contract-Infrastruktur für Backup-Konfigurationen. Eine direkte Übergabe vom Kerntrojaner an diese Programme wurde während der Untersuchung nicht beobachtet. Die Verbindung ist forensisch belegt, nicht direkt beobachtet.

• LockAppHost: Das zerstörerischste der vier Module. Es missbraucht die Windows-Binärdatei CMSTP, um ohne Standard-UAC-Abfrage Administratorrechte zu erlangen, und greift bei Fehlschlag auf einen normalen Erhöhungsdialog zurück. Nach der Rechteerhöhung fügt es Microsoft-Defender-Ausnahmen für gängige Ordner und Dateitypen hinzu, deaktiviert 5 Windows-Update-Dienste, beendet 11 geplante Update-Aufgaben und 2 Malware-Entfernungsaufgaben und versteckt dann einen Miner in einem angehaltenen nslookup.exe- oder svchost.exe-Prozess. Die Sicherheitsschäden bleiben auch nach Entfernung des Miners bestehen.
• ProManager: Zielt auf Electron-basierte Desktop-Krypto-Wallet-Apps. Liest die gespeicherte Fensterposition des Wallets und blendet vom Angreifer bereitgestellte Inhalte an genau diesen Pixelkoordinaten ein, ohne das Wallet-Programm selbst zu verändern. Eine Zusatzkomponente zeichnet Tastatureingaben und Zwischenablage-Einfügungen aus Passwort- und Passphrase-Feldern auf.
• WinUpdate und SoftManager: Zwei weitere Persistenzmodule, die dieselbe Build-Technik wie REVSTEALER verwenden. Elastics öffentliche YARA-Regeln decken beide zur Erkennung ab; eine vollständige Verhaltensanalyse findet sich im Whitepaper.

Wie umgeht REVSTEALER Server-Abschaltungen?

Herkömmliche Malware-Operationen brechen zusammen, wenn Ermittler den Command-and-Control-Server beschlagnahmen. REVSTEALER verfügt über einen Rückfallmechanismus, dessen Aktualisierung nur Bruchteile eines Cents kostet: EtherHiding. Wenn der primäre C2-Server offline geht, liest die Malware eine Ersatz-Serveradresse aus einem Smart Contract auf der Polygon-Blockchain. Die Beschlagnahmung einer Domain hat keinerlei Auswirkung auf diesen Contract. Jeder infizierte Rechner wird beim nächsten Check-in umgeleitet, und der Betreiber zahlt dafür nahezu nichts.

Die Tarnmechanismen gehen tief. REVSTEALER bewertet den Host anhand von 10 Sandbox-Erkennungskriterien und stoppt die Ausführung, wenn der Gesamtwert zu hoch ist. Die Malware beendet sich auf Systemen, die für eine von 10 Sprachen aus Russland und Zentralasien konfiguriert sind. Windows-API-Funktionen werden zur Laufzeit ohne normale Importtabelle aufgelöst; Kernel-Aufrufe erfolgen über indirekte Systemaufrufe, um die Hooks von Endpoint-Sicherheitsprodukten zu umgehen. Entpackte Builds fügen eine weitere Hürde hinzu: ein Popup, das einen zufälligen 6-stelligen Verifizierungscode vor der Ausführung verlangt, eine manuelle Prüfung gegen automatisierte Analysetools, die Elastic mit Methoden aus Lumma Stealer und AuraStealer verglich.

Gefälschte KI-Tools und 17 gekaperte YouTube-Kanäle

REVSTEALER verbreitet sich über zwei Hauptwege: Game-Cheat-Downloads und Software-Imitation. Elastic fand 17 YouTube-Kanäle, viele davon von legitimen Erstellern gekapert, die kurze KI-generierte Videos mit Links zu Cheat-Download-Seiten veröffentlichten. Game-Cheats sind seit Jahren ein bewährter Malware-Verbreitungsweg. Der Software-Imitationsansatz ist hier das Bemerkenswerte.

Morphisec dokumentierte am 31. August eine gefälschte „Claude Opus 5 Free Desktop"-Anwendung, die Anthropics Branding kopierte, um die Malware auszuliefern. Es gibt keine Hinweise darauf, dass Anthropic kompromittiert wurde. Der Angriff klonte lediglich das Erscheinungsbild des Produkts und setzte darauf, dass Nutzer nach einer kostenlosen Version eines kostenpflichtigen KI-Tools suchen. Es funktionierte, weil der Köder glaubwürdig aussah. Die öffentlichen ProManager-YARA-Regeln aus Elastics Artefakt-Repository decken den Kerntrojaner und drei der vier Module ab, aber LockAppHost, das Modul mit dem nachhaltigsten strukturellen Schaden, fehlt in der öffentlichen Datei. Diese Lücke ist relevant.

Elastics Erkennungsregeln ordneten im vergangenen Jahr rund 4.700 Samples auf VirusTotal zu, wobei Dateien und nicht bestätigte Infektionen gezählt wurden. Gen Threat Labs dokumentierte REVSTEALER erstmals im Juli; Elastics September-Bericht und Whitepaper sind die bislang umfassendste öffentliche Darstellung der Malware.

Was sollten betroffene Nutzer konkret tun?

Ein sauberer Scan bedeutet keinen sauberen Rechner. Da sich der Kerntrojaner selbst löscht, werden Endpoint-Tools, die nach Persistenz suchen, ihn nicht finden. Dieses Fehlen beweist nichts. Die vier Module, die er installiert hat, laufen weiterhin. Ein infizierter Rechner kann vollständig bereinigt wirken, während LockAppHost immer noch Kryptowährung schürft und ProManager darauf wartet, dass ein Wallet geöffnet wird.

Wenn LockAppHost aktiv war, ist die Behebungsliste konkret: Die von ihm deaktivierten Windows-Update-Dienste und geplanten Aufgaben müssen reaktiviert, die hinzugefügten Defender-Ausnahmen entfernt und ein Miner gesucht werden, der sich in einem angehaltenen nslookup.exe- oder svchost.exe-Prozess versteckt. Diese Prozesse werden unter normalen Betriebsbedingungen nicht angehalten. Ihr Vorhandensein im angehaltenen Zustand ist ein zuverlässiges Signal.

Passwort-Resets allein reichen nicht aus, um den Schaden einzudämmen. Der Stealer hat neben Zugangsdaten auch Sitzungs-Cookies erfasst, daher müssen sämtliche aktiven Sitzungen in Browsern, Krypto-Wallets, Telegram und Gaming-Plattformen beendet werden. Auch Chromes App-Bound-Encryption-Schlüssel wurde entwendet, weshalb Chromes gesamter gespeicherter Zugangsdatensatz als kompromittiert betrachtet werden muss. Zur Prävention: KI-Tools ausschließlich von offiziellen Herausgeberquellen installieren und jede „kostenlose" Desktop-Version einer kostenpflichtigen KI-Anwendung als Bedrohung behandeln, bis das Gegenteil bewiesen ist.