Elastic Security Labs ha documentato quattro moduli legati a REVSTEALER che restano su un host Windows anche dopo l’auto-cancellazione dello stealer. Il punto nuovo non è il furto iniziale, ma la fase che segue: il sistema resta monetizzato e indebolito, con Defender e Windows Update sabotati e un miner ancora attivo.
I moduli non sono plug-in dentro lo stealer. Sono eseguibili separati che si installano nel profilo dell’utente e continuano a girare da soli. Uno disattiva difese e attività di aggiornamento di Windows, poi nasconde il miner dentro processi legittimi; un altro si rivolge ai wallet desktop e intercetta ciò che viene digitato nei campi di password e passphrase.
Per chi difende endpoint Windows, il messaggio è che rimuovere il primo stealer non basta a chiudere l’incidente. Restano possibili disabilitazione delle protezioni, mining persistente e furto di credenziali o wallet anche dopo la scomparsa del componente principale.