מודולים נלווים לנוזקת REVSTEALER מכבים הגנות Windows כדי להריץ כורה קריפטו

חוקרים מ-Elastic חשפו כי גונב המידע המסחרי REVSTEALER, הנמכר במחתרת מאז פברואר 2026, מגיע יחד עם ארבעה מודולים נלווים שנשארים על המחשב הנגוע גם אחרי שהגונב עצמו מוחק את עצמו. אחד מהם משבית באופן שקט את Windows Update ואת Microsoft Defender כדי להריץ כורה מטבעות קריפטו בהרשאות מנהל.

איור מושגי של מגן מושבת וכריית קריפטו זדונית

מה קרה

לפי הממצאים, REVSTEALER מופץ בעיקר דרך ערוצי YouTube חטופים שמפרסמים כלי רמאות למשחקים ותוכנות פרוצות, וכן דרך גרסה מזויפת של אפליקציית שולחן עבודה בשם Claude Opus 5. הגונב עצמו שואב סיסמאות דפדפן, עוגיות, ארנקי קריפטו ונתוני צ'אט, ולאחר שדיווח לשרת התקיפה הוא מוחק את עצמו — אבל משאיר מאחוריו ארבעה רכיבים עצמאיים: אחד גונב קבצי ארנק וסיסמאות דרך חלונות מתחזים, שני מנטר את הלוח (clipboard) ומחליף כתובות ארנק קריפטו, שלישי הופך את המחשב הנגוע לפרוקסי לתעבורת התוקף, והרביעי — LockAppHost — משבית עדכוני Windows ומחריג תיקיות מ-Defender כדי להריץ כורה קריפטו בלי הפרעה. Elastic זיהתה כ-4,700 דגימות של הנוזקה ב-VirusTotal בשנה האחרונה ופרסמה כללי YARA לזיהוי.

נקודות לשים לב

הימנעו מהתקנת גרסאות לא רשמיות של כלי AI בתשלום, רמאות משחקים ותוכנה פרוצה — זהו וקטור ההדבקה המרכזי שזוהה.
אם המחשב נדבק ב-LockAppHost: בדקו האם שירות ומשימות מתוזמנות של Windows Update הושבתו, האם נוספו החרגות ל-Microsoft Defender, וחפשו תהליכי כרייה שרצים תחת nslookup.exe או svchost.exe חשודים.
מדדי הפשרה (התקשרות אל דומיינים כמו monitor5.roast-core85.click ו-config.hubdisplay.lol) שווים בדיקה מול לוגי DNS ופרוקסי ארגוניים.
למשתמשים שאובחנו כנגועים: החליפו סיסמאות וסיימו הפעלות (sessions) פעילות בכל השירותים הרלוונטיים, ולא להסתפק באיפוס סיסמה בלבד — מאחר שהגונב שואב גם עוגיות הפעלה.
שקלו פריסת כללי YARA שפרסמה Elastic לזיהוי הנוזקה וארבעת המודולים הנלווים ברשת הארגונית.