Bốn mô-đun liên quan REVSTEALER vô hiệu hóa Windows Update và Defender để chạy miner
"Elastic Security Labs reported four previously undocumented REVSTEALER-associated Windows modules that persist after the main stealer deletes itself. One module, LockAppHost, disables Windows Update and Microsoft Defender exclusions before launching a cryptocurrency miner with elevated privileges; the report does not cite a CVE, and mitigation centers on detection, removal, and restoring disabled security settings."
Tác động bảo mật cao do vô hiệu hóa cơ chế phòng vệ, đánh cắp dữ liệu nhạy cảm và duy trì hiện diện sau khi stealer chính tự xóa.
Có thể gây mất tài khoản ví/ứng dụng, tiêu tốn tài nguyên hệ thống và làm tăng chi phí xử lý sự cố, khôi phục cấu hình bảo mật.
Elastic Security Labs cho biết đã phát hiện 4 mô-đun Windows chưa từng được công bố, có liên quan đến REVSTEALER, và các thành phần này vẫn tồn tại trên máy nhiễm ngay cả khi trình đánh cắp dữ liệu chính tự xóa. Nhóm này gồm ProManager, WinUpdate, SoftManager và LockAppHost.
Trong đó, LockAppHost là thành phần gây tác động lớn nhất: nó tắt Windows Update, thêm ngoại lệ cho Microsoft Defender, rồi khởi chạy cryptocurrency miner với quyền quản trị. Theo báo cáo, mô-đun này còn vô hiệu hóa 5 dịch vụ cập nhật, 11 tác vụ theo lịch và 2 tác vụ gỡ bỏ mã độc, khiến các thay đổi phòng thủ có thể còn lại sau khi miner bị phát hiện.
Các mô-đun khác thực hiện hành vi như đánh cắp tệp ví tiền số, ghi nhận dữ liệu nhập vào trường mật khẩu, thay thế địa chỉ ví trên clipboard và biến máy nạn nhân thành reverse proxy cho lưu lượng của kẻ tấn công. Elastic không nêu CVE nào liên quan.
Khuyến nghị cho đội vận hành là phát hiện và gỡ bỏ toàn bộ mô-đun, kiểm tra Scheduled Task, Registry Run key và service bất thường, đồng thời khôi phục Windows Update và Microsoft Defender về cấu hình mặc định sau khi làm sạch hệ thống.