O REVSTEALER é uma nova ameaça para Windows que combina roubo de credenciais, criptomoedas e contas de jogos com técnicas avançadas de evasão. O Elastic Security Labs identificou o malware e descobriu quatro executáveis relacionados, ProManager, WinUpdate, SoftManager e LockAppHost, capazes de manter atividades maliciosas no computador mesmo depois que o componente principal se apaga.
O detalhe mais preocupante está no LockAppHost. O componente pode obter privilégios administrativos, enfraquecer o Microsoft Defender, interromper mecanismos do Windows Update e iniciar um minerador de criptomoedas. Assim, uma infecção que começa como um simples programa falso ou cheat de jogo pode terminar com roubo de dados, persistência e uso clandestino dos recursos do computador para gerar dinheiro aos criminosos.
Entendendo o REVSTEALER e seus 4 módulos ocultos
O REVSTEALER é classificado como um infostealer, ou seja, um malware especializado em localizar e extrair informações valiosas de uma máquina infectada. Segundo a análise da Elastic, ele procura credenciais armazenadas em navegadores, cookies, dados de carteiras de criptomoedas, extensões, gerenciadores de senhas, aplicativos de mensagens, VPNs, clientes FTP e plataformas de jogos.
O alcance é particularmente amplo. A pesquisa encontrou suporte para 225 identificadores de extensões Chromium associados a carteiras e gerenciadores de senhas, além de 51 aplicativos independentes de carteiras. O malware também coleta informações do Windows Credential Manager, arquivos selecionados e dados de jogos como Steam, Roblox, Minecraft e Battle.net.
Em alguns casos, a ameaça tenta obter dados protegidos pelo App-Bound Encryption do Chrome. Para isso, utiliza depuração do navegador e acessa a chave descriptografada na memória, uma técnica que a Elastic relaciona ao projeto público ElevationKatz.
Depois de concluir a coleta, o REVSTEALER pode comunicar o resultado ao servidor de comando e controle e excluir o próprio executável. Essa característica é importante porque cria a impressão de que o incidente terminou, quando componentes adicionais podem continuar ativos no sistema.
ProManager, WinUpdate e SoftManager
O ProManager amplia o ataque contra usuários de criptomoedas. O componente procura arquivos de carteiras e extensões de navegador, além de conseguir apresentar conteúdos controlados pelos criminosos sobre a interface de aplicativos de carteira. Ele também captura informações digitadas em campos identificados como destinados a senhas ou frases secretas.
O WinUpdate possui outra função extremamente perigosa: monitorar a área de transferência do Windows. Ao detectar uma sequência semelhante a um endereço de criptomoeda, o malware pode substituí-la pelo endereço controlado pelo atacante. Dessa maneira, uma vítima pode copiar o endereço correto de uma carteira, colar em uma transação e enviar os ativos diretamente para os criminosos.
O módulo também procura textos que tenham aparência de frases de recuperação de carteiras, conhecidas como seed phrases ou mnemonic phrases. O roubo desse tipo de informação pode ser ainda mais grave do que o comprometimento de uma senha convencional, pois uma frase de recuperação pode fornecer controle direto sobre os ativos de uma carteira.
Já o SoftManager transforma o computador infectado em um proxy SOCKS5 reverso. O tráfego controlado pelos criminosos pode passar pela conexão da vítima, fazendo com que determinadas atividades pareçam originar-se do endereço IP do computador comprometido. A comunicação utiliza WebSocket criptografado e o componente possui mecanismos próprios de persistência.
LockAppHost e o ataque às defesas do Windows
O LockAppHost é o componente que torna a campanha especialmente preocupante para usuários domésticos e administradores de sistemas. Sua função vai além do roubo de informações: ele prepara o computador para permanecer vulnerável enquanto recursos de processamento são utilizados para mineração de criptomoedas.
Para obter privilégios elevados, o módulo abusa do CMSTP, uma ferramenta legítima do Windows utilizada para instalar ou remover perfis do Connection Manager. Em determinadas situações, o componente tenta utilizar essa ferramenta para elevar seus privilégios e, caso não consiga, recorre a uma solicitação convencional de elevação.
Depois de conseguir privilégios administrativos, o LockAppHost modifica a configuração de segurança do sistema. A análise aponta a criação de exclusões no Microsoft Defender, desativação de cinco serviços relacionados ao Windows Update, 11 tarefas agendadas de atualização e duas tarefas ligadas à remoção de malware.
Com as defesas enfraquecidas, o componente implanta o XMRig, um conhecido software de mineração, e tenta escondê-lo dentro de processos legítimos do Windows, incluindo instâncias de nslookup.exe ou svchost.exe. O objetivo é dificultar a identificação visual de um minerador convencional no Gerenciador de Tarefas.
O problema não termina quando o minerador é localizado. As alterações feitas para reduzir a proteção do Windows podem permanecer no sistema, deixando a máquina exposta a novas ameaças mesmo depois da remoção do componente malicioso.
Vetores de infecção e táticas de evasão do REVSTEALER
A distribuição do REVSTEALER demonstra como a engenharia social continua sendo uma das armas mais eficientes dos criminosos. A Elastic identificou pelo menos 17 canais do YouTube utilizados para divulgar sites associados a cheats e modificações para jogos. Muitos desses canais aparentemente haviam sido comprometidos e passaram a publicar vídeos curtos gerados com inteligência artificial.
O golpe explora diretamente o interesse dos gamers por recursos gratuitos. O vídeo promete um cheat ou mod menu, enquanto o link na descrição direciona para uma página que entrega o malware. O uso de canais reais e com audiência estabelecida aumenta a aparência de legitimidade da campanha.
Os cheats não são a única isca. Amostras do malware foram distribuídas com nomes que imitavam softwares conhecidos, incluindo aplicativos como Slack, qBittorrent, SteelSeries GG e Blender. Mais recentemente, pesquisadores também identificaram uma falsa versão gratuita do Claude Opus 5 Desktop, utilizando a identidade visual da Anthropic sem que isso signifique que a empresa tenha sido comprometida.
A Elastic encontrou aproximadamente 4.700 amostras compatíveis com sua regra YARA no VirusTotal durante um retrohunt de um ano. Esse número representa arquivos encontrados, e não uma contagem de computadores infectados.
O malware também investe pesado em evasão de análise. Ele executa dez verificações para avaliar se está em um ambiente de sandbox. Cada característica suspeita recebe uma pontuação e, quando o resultado atinge determinado limite, a ameaça encerra sua execução. Entre os critérios estão quantidade de memória, número de núcleos, processos, tempo de atividade, virtualização e características do hardware.
Outro mecanismo utiliza idioma e configuração regional para evitar determinadas máquinas. O REVSTEALER também emprega VMProtect, criptografia de strings, resolução dinâmica de APIs e chamadas indiretas ao sistema operacional, dificultando a análise estática e algumas técnicas tradicionais de monitoramento.
Há ainda o EtherHiding, técnica que utiliza a blockchain como mecanismo de contingência para infraestrutura de comando e controle. Caso o servidor principal não esteja disponível, o REVSTEALER pode consultar contratos inteligentes na Polygon para obter uma configuração alternativa. Isso dificulta operações convencionais de derrubada da infraestrutura maliciosa.
Um ponto importante para a precisão técnica é que a Elastic recuperou os quatro componentes no contexto da investigação e identificou fortes características compartilhadas com o REVSTEALER, mas não observou diretamente os quatro arquivos sendo entregues em uma máquina já infectada pelo REVSTEALER. Portanto, a associação é sustentada por características de desenvolvimento, infraestrutura e contexto investigativo, e não por uma cadeia de execução completa observada em campo.
Como saber se você foi afetado pelo REVSTEALER e como remediar o sistema
Usuários que executaram recentemente cheats, cracks, programas piratas ou versões não oficiais de aplicativos de IA devem tratar alterações inexplicáveis no Windows como um possível sinal de comprometimento.
Um dos primeiros pontos a verificar é o Microsoft Defender. Exclusões que o usuário não criou, especialmente envolvendo diretórios comuns ou extensões de executáveis, merecem investigação imediata. A própria Microsoft documenta que exclusões podem alterar quais arquivos e processos ficam fora da verificação do antivírus.
Também é importante verificar se o Windows Update continua funcionando normalmente. Serviços desativados, tarefas de atualização ausentes ou erros persistentes após uma suposta infecção são sinais que justificam uma investigação mais profunda.
No Gerenciador de Tarefas e nas ferramentas administrativas do Windows, procure processos com nomes legítimos, mas comportamento anormal. nslookup.exe e svchost.exe, por exemplo, são componentes legítimos, porém uma instância inesperadamente associada a atividade de mineração, conexões de rede desconhecidas ou execução a partir de locais incomuns merece atenção.
Verifique também tarefas agendadas, entradas de inicialização automática, serviços e scripts de logon que não deveriam existir. Os módulos associados ao REVSTEALER utilizam diferentes mecanismos de persistência, incluindo chaves de Registro, tarefas agendadas, scripts e serviços.
Se houver suspeita concreta de infecção, não trate o caso apenas como um problema de mineração. O REVSTEALER pode ter capturado senhas, cookies, sessões, tokens e informações de carteiras antes de desaparecer. O procedimento mais seguro é isolar a máquina, preservar evidências quando necessário e realizar uma análise de segurança completa.
Depois de utilizar um dispositivo confiável, altere as senhas das contas afetadas e encerre sessões ativas. Para contas de criptomoedas, a situação exige cuidado adicional: se uma seed phrase ou chave privada foi exposta, trocar a senha da carteira pode não ser suficiente. Os ativos devem ser transferidos para uma carteira considerada segura, seguindo os procedimentos apropriados da plataforma utilizada.
Também é fundamental restaurar as proteções do Windows, remover exclusões não autorizadas do Defender e reativar os componentes do Windows Update. A Microsoft possui procedimentos oficiais para verificar e iniciar os serviços de atualização e reparar componentes relacionados à proteção contra malware.
Em ambientes corporativos, a recomendação é ir além da máquina individual. Administradores devem procurar os mesmos indicadores em outros endpoints, analisar conexões de rede, tarefas agendadas e alterações de políticas, além de considerar uma possível rotação de credenciais em massa quando houver evidências de roubo de dados.
Conclusão: o REVSTEALER transforma uma simples instalação em um risco maior
O REVSTEALER mostra como a evolução dos infostealers está tornando as infecções mais complexas. O objetivo não é apenas roubar uma senha e desaparecer. A operação analisada pela Elastic Security Labs combina coleta de informações, sequestro de carteiras, manipulação da área de transferência, proxy reverso, persistência e mineração de criptomoedas.
O caso do LockAppHost é especialmente preocupante porque transforma uma máquina comprometida em um ambiente com as próprias defesas deliberadamente enfraquecidas. Desativar atualizações e criar exclusões no antivírus abre espaço para outras ameaças e prolonga o impacto do ataque.
Para usuários comuns, a principal defesa continua sendo evitar programas piratas, cheats, cracks e aplicativos distribuídos fora dos canais oficiais. Vídeos bem produzidos no YouTube, canais com milhares de inscritos e interfaces convincentes não são garantia de segurança.
Para empresas e profissionais de TI, o incidente reforça outra lição: persistência e evasão precisam ser investigadas mesmo quando o malware principal desaparece. Uma infecção aparentemente encerrada pode ter deixado serviços, tarefas, exclusões e credenciais comprometidas para trás.
Se este alerta pode ajudar outros usuários, compartilhe a informação com amigos, gamers e colegas de trabalho. E acompanhe o SempreUpdate para novas análises sobre ameaças, vulnerabilidades e segurança digital.
