Cuatro módulos vinculados a REVSTEALER desactivan Windows Update y Defender para ejecutar un minero de criptomonedas

Elas­tic Se­cu­rity Labs ha do­cu­men­ta­do cua­tro pro­gra­mas hasta ahora des­co­no­ci­dos vin­cu­la­dos a REVSTEALER, un pro­gra­ma co­mer­cial de robo de in­for­ma­ción para Win­dows que se eli­mi­na a sí mismo tras con­cluir sus ta­reas prin­ci­pa­les. Estos cua­tro com­po­nen­tes, iden­ti­fi­ca­dos como Pro­Ma­na­ger, Wi­nUp­da­te, Soft­Ma­na­ger y Loc­kAppHost, se ins­ta­lan de forma per­ma­nen­te en el per­fil del usua­rio. Aun­que com­par­ten si­mi­li­tu­des téc­ni­cas y de cons­truc­ción con el la­drón prin­ci­pal, la co­ne­xión se es­ta­ble­ce a tra­vés de có­di­go com­par­ti­do y con­tex­to de in­ves­ti­ga­ción, ya que no se ob­ser­vó su en­tre­ga di­rec­ta desde el soft­wa­re ma­li­cio­so ori­gi­nal.

Entre estos ele­men­tos, Loc­kAppHost des­ta­ca por ser el más dis­rup­ti­vo, ya que busca pri­vi­le­gios de ad­mi­nis­tra­dor para des­ac­ti­var múl­ti­ples ser­vi­cios y ta­reas pro­gra­ma­das de Win­dows Up­da­te, ade­más de mo­di­fi­car las ex­clu­sio­nes de Mi­cro­soft De­fen­der y ocul­tar un mi­ne­ro de crip­to­mo­ne­das en pro­ce­sos le­gí­ti­mos. Por su parte, Pro­Ma­na­ger se en­fo­ca en usua­rios de car­te­ras di­gi­ta­les de es­cri­to­rio su­per­po­nien­do con­te­ni­do falso para imi­tar la in­ter­faz le­gí­ti­ma y re­gis­tran­do las pul­sa­cio­nes de te­cla­do, in­clui­das las con­tra­se­ñas in­tro­du­ci­das.

El pro­gra­ma prin­ci­pal de REVSTEALER re­co­pi­la una gran va­rie­dad de datos sen­si­bles, tales como cre­den­cia­les y coo­kies de na­ve­ga­do­res, in­for­ma­ción de car­te­ras de crip­to­mo­ne­das, ex­ten­sio­nes, his­to­ria­les de men­sa­je­ría, con­fi­gu­ra­cio­nes de redes pri­va­das vir­tua­les y de pro­to­co­lo de trans­fe­ren­cia de ar­chi­vos, ade­más de des­ci­frar coo­kies de Ro­blox y em­plear téc­ni­cas avan­za­das de de­pu­ra­ción para eva­dir pro­tec­cio­nes de na­ve­ga­do­res. Este malwa­re suele dis­tri­buir­se me­dian­te se­ñue­los de tram­pas para vi­deo­jue­gos en ca­na­les de You­Tu­be pi­ra­tea­dos y soft­wa­re falso, in­cor­po­ran­do ade­más me­ca­nis­mos com­ple­jos para re­sis­tir aná­li­sis en en­tor­nos ais­la­dos y ser­vi­do­res de res­pal­do en ca­de­nas de blo­ques.