REVSTEALER ne se limite plus au vol ponctuel de données. Elastic Security Labs a documenté quatre programmes associés à cet infostealer Windows qui peuvent rester sur la machine après la suppression du composant principal. Ensemble, ils ciblent les portefeuilles de cryptomonnaies, détournent le trafic réseau et affaiblissent les protections de Windows pour exécuter un mineur.
Les chercheurs nomment ces composants ProManager, WinUpdate, SoftManager et LockAppHost. Leur lien avec REVSTEALER repose sur des techniques de compilation et de dissimulation communes ainsi que sur le contexte de l’enquête. Elastic précise ne pas avoir observé leur livraison directe sur une victime active par le stealer : il s’agit donc d’un ensemble d’activité associé, et non de modules formellement chargés comme des extensions.
REVSTEALER, un voleur d’informations à large spectre
Commercialisé depuis au moins février 2026, REVSTEALER collecte les mots de passe et cookies des navigateurs, les données de messageries, les configurations VPN et FTP, le Gestionnaire d’identifiants Windows, des documents et les fichiers de dizaines de portefeuilles cryptographiques. Il vise également des extensions de navigateur et certains comptes de jeux.
Le malware peut contourner la protection App-Bound Encryption de Chrome en lançant le navigateur sous débogueur afin de lire une clé en mémoire. Une fois l’exfiltration terminée, le composant principal signale la réussite à son serveur de commande, puis se supprime. Cette disparition peut donner une fausse impression de nettoyage alors que des charges persistantes restent actives.
Les quatre composants et leurs fonctions
- ProManager vole des fichiers de wallets et des extensions crypto, superpose du contenu contrôlé par l’attaquant à des applications Electron et enregistre les secrets saisis ou collés.
- WinUpdate surveille le presse-papiers, remplace les adresses de cryptomonnaie copiées et collecte les textes ressemblant à des phrases de récupération.
- SoftManager transforme la machine en proxy inverse afin que l’attaquant fasse transiter son trafic par la connexion de la victime.
- LockAppHost désactive des mécanismes de Windows Update, ajoute des exclusions Microsoft Defender et exécute un mineur avec des droits élevés.
LockAppHost affaiblit durablement Windows
LockAppHost tente d’obtenir des privilèges administrateur en détournant l’outil légitime CMSTP, puis utilise une demande d’élévation classique si cette méthode échoue. Une fois élevé, il exclut des dossiers et types de fichiers de l’analyse Defender, arrête plusieurs services Windows Update et désactive des tâches de maintenance.
Le mineur est ensuite dissimulé dans des processus Windows légitimes, notamment des instances suspendues de nslookup.exe ou svchost.exe. Même après suppression du mineur, les exclusions et services désactivés peuvent subsister, laissant le poste exposé à d’autres menaces.
Une infrastructure résistante au démantèlement
REVSTEALER et plusieurs composants utilisent des contrats intelligents sur la blockchain Polygon comme canal de configuration de secours. Cette technique, souvent appelée EtherHiding, permet de récupérer une adresse de commande alternative depuis une infrastructure décentralisée difficile à supprimer.
Le malware vérifie aussi de nombreux indices de sandbox et interrompt son exécution lorsque l’environnement paraît artificiel. Il évite des systèmes configurés dans plusieurs langues de Russie et d’Asie centrale, résout dynamiquement les fonctions Windows et emploie des appels système indirects pour contourner certains outils de sécurité.
Comment les victimes sont piégées
La diffusion s’appuie principalement sur de faux logiciels, des versions piratées et des outils de triche pour jeux vidéo. Elastic a identifié au moins 17 chaînes YouTube, souvent compromises, qui faisaient la promotion de sites de triche à l’aide de courtes vidéos générées par IA.
Une campagne distincte a aussi imité une prétendue application gratuite « Claude Opus 5 Desktop ». Rien n’indique une compromission d’Anthropic : les criminels utilisent simplement la notoriété des outils d’IA pour donner une apparence crédible à leurs exécutables.
Mesures de détection et de remédiation
- Rechercher les règles de persistance dans les clés
Run, les tâches planifiées, les scripts d’ouverture de session et les services inconnus. - Vérifier l’état des services et tâches Windows Update ainsi que les exclusions ajoutées à Microsoft Defender.
- Inspecter les processus
nslookup.exeetsvchost.exeprésentant une consommation CPU ou un comportement enfant inhabituel. - Révoquer les sessions web, renouveler les mots de passe et protéger les portefeuilles depuis un appareil sain, car les cookies ont pu être volés.
- Bloquer les domaines et empreintes publiés par Elastic, puis rechercher les mêmes indicateurs dans l’ensemble du parc.
- Former les utilisateurs à installer les logiciels, outils d’IA et jeux uniquement depuis les canaux officiels.
Sources
Cet article s’appuie sur l’analyse technique d’Elastic Security Labs et le compte rendu de The Hacker News. Le nombre de fichiers repérés sur VirusTotal ne doit pas être interprété comme un nombre confirmé de machines infectées.
