veilletech.frCe qui se passe
Elastic Security Labs a publié le 2 septembre 2026, avec un livre blanc technique, l'analyse de quatre programmes jusque-là non documentés liés à REVSTEALER — un voleur d'informations Windows vendu comme produit commercial depuis au moins février 2026, date du premier échantillon détecté sur VirusTotal.
Le contraste est tout le sujet. Le voleur principal exfiltre, signale
complete à son serveur, s'efface et ne laisse aucune persistance. Les
quatre modules font l'inverse : chacun s'installe dans le profil de
l'utilisateur et y reste.
Les quatre modules
| Module | Ce qu'il fait | Persistance |
|---|---|---|
| ProManager | Vole les fichiers de portefeuille, affiche du contenu attaquant par-dessus la fenêtre du wallet, enregistre les mots de passe et phrases saisis ou collés | clé de registre Run |
| WinUpdate | Surveille le presse-papiers, remplace les adresses de cryptomonnaie copiées, collecte ce qui ressemble à une phrase de récupération | tâche planifiée, repli sur clé Run |
| SoftManager | Transforme la machine en reverse proxy pour le trafic de l'attaquant | script de session, tâche planifiée ou clé Run |
| LockAppHost | Lance un mineur avec les droits administrateur après avoir désarmé les défenses | clé Run ou service |
LockAppHost est le plus destructeur. Il obtient l'élévation en détournant l'outil Windows CMSTP, avec repli sur une invite d'élévation classique. Une fois élevé, il ajoute des exclusions Defender sur des dossiers et types de fichiers courants, désactive 5 services Windows Update, 11 tâches planifiées de mise à jour et 2 tâches de suppression de malware, puis dissimule un mineur dans des processus Windows légitimes.
ProManager, lui, exploite le fait que la plupart des portefeuilles de bureau sont bâtis sur Electron : il lit la position enregistrée de la fenêtre du wallet et ouvre par-dessus un contenu fourni par l'attaquant, dimensionné et positionné pour la recouvrir — sans jamais toucher au programme lui-même.
La limite de l'analyse
Elastic n'a pas observé la livraison de ces modules sur une machine réellement infectée par REVSTEALER. Le rattachement repose sur un outillage de compilation commun — même packer, même résolution de fonctions à l'exécution, même usage de contrats Polygon comme configuration de secours (technique dite EtherHiding) — et sur le contexte de l'enquête, pas sur une remise constatée.
Second angle mort : les règles YARA publiques couvrent le voleur, ProManager, SoftManager et WinUpdate, mais pas LockAppHost, le module de minage.
Ce que ça change en réponse à incident
- Comme le voleur s'auto-supprime, une infection peut paraître terminée alors que les modules tournent toujours.
- Là où LockAppHost est passé, il faut réactiver les services et tâches Windows Update et retirer les exclusions Defender : ces dégradations survivent à la suppression du mineur.
- Chercher un mineur caché dans une instance suspendue de
nslookup.exeousvchost.exe. - Le voleur emportant les cookies de session et la clé d'App-Bound Encryption de Chrome, changer le mot de passe ne suffit pas : il faut clore les sessions actives.
Indicateurs publiés : SHA-256 adc4aa65…165ee4 (REVSTEALER),
13d7237d…5ebccfa (ProManager), 7c08cf40…9d182fcb (WinUpdate),
14b2ac35…3dd4e4e2 (SoftManager), c66d2b77…5b2651e5 (LockAppHost) ; domaines
monitor5.roast-core85[.]click, config.hubdisplay[.]lol,
health.journal-metric[.]lol, metric.gardenpark[.]click.
À retenir
La diffusion passe par des leurres de triche de jeu — au moins 17 chaînes YouTube, souvent détournées à leurs propriétaires — et par de faux logiciels, dont une fausse application « Claude Opus 5 Free Desktop » documentée par Morphisec le 31 août. Rien n'indique de compromission chez Anthropic : c'est de l'usurpation de marque. La règle tient en une ligne — n'installez un outil qu'à partir de son canal officiel.
Source : The Hacker News