A empresa de segurança Elastic Security Labs revelou nesta semana a existência de quatro programas ainda não documentados, todos ligados ao REVSTEALER, um recente ladrão de informações para Windows. Segundo os pesquisadores, esses módulos permanecem ativos no sistema mesmo depois que o próprio REVSTEALER se apaga, o que dificulta a remoção completa da ameaça.
Um desses componentes tem a função de desligar a atualização automática do Windows e desativar o antivírus Microsoft Defender antes de acionar um minerador de criptomoedas. Dessa forma, o código malicioso consegue explorar os recursos da máquina sem ser bloqueado pelas defesas nativas do sistema.
Os quatro módulos identificados foram batizados de ProManager, WinUpdate, SoftManager e um quarto programa cujo nome ainda não foi oficialmente divulgado. Cada um deles executa funções específicas: enquanto o ProManager gerencia processos maliciosos, o WinUpdate bloqueia as correções de segurança, o SoftManager cuida da instalação de payloads adicionais e o componente restante age como intermediário para o minerador.
Os especialistas alertam que a permanência desses módulos após a eliminação do stealer original representa um risco persistente, pois mesmo uma limpeza superficial do sistema pode deixar rastros ativos. Recomenda-se a utilização de soluções de proteção com detecção comportamental, a aplicação regular de correções de segurança e a monitoração constante de processos incomuns para evitar a infecção.
A Elastic Security Labs afirma que está trabalhando em atualizações de suas assinaturas para identificar e bloquear esses componentes. Os usuários são orientados a manter seus sistemas operacionais atualizados e a não executar arquivos de procedência duvidosa, a fim de reduzir a superfície de ataque.
Fonte: The Hacker News
