So werden Sie die REVSTEALER-Malware los

Was für eine Malware ist REVSTEALER?

REVSTEALER ist ein Informationsdieb, der darauf ausgelegt ist, Anmeldedaten, Sitzungstokens und sensible Daten von infizierten Windows-Computern zu sammeln. Laut einer von Elastic Security Labs veröffentlichten Untersuchung wird die Malware intern als REF2859 geführt und ist seit mindestens einem Jahr aktiv, wobei bei einem VirusTotal-Retrohunt rund 4.700 Samples übereinstimmten.

REVSTEALER wurde speziell mit Blick auf Gamer entwickelt. Sie stiehlt Sitzungsdaten von Plattformen wie Steam und Roblox sowie Browserpasswörter und Kryptowährungs-Wallets. Über den Diebstahl von Anmeldedaten hinaus kann sie von ihrem Betreiber zusätzliche Module empfangen, die einer bereits kompromittierten Maschine Kryptowährungs-Mining, Clipboard-Hijacking und Proxy-Tunneling hinzufügen.

REVSTEALER Übersicht

Nach der Installation sammelt REVSTEALER heimlich Anmeldedaten aus über 225 unterstützten Chromium-Browsererweiterungen - darunter Kryptowährungs-Wallet-Erweiterungen und Passwortmanager - sowie aus 51 eigenständigen Wallet-Anwendungen. Zudem extrahiert er gespeicherte Passwörter, Browser-Cookies und Authentifizierungsdaten aus gängigen Webbrowsern.

Der Stealer erfasst System-Screenshots, Zwischenablage-Inhalte, Umgebungsvariablen, Prozesslisten und Daten installierter Anwendungen. Auch Windows Sticky Notes, OBS Studio-Dateien, 2FA-Anwendungsdaten sowie Daten von VPN-Clients und Messaging-Apps werden ins Visier genommen.

Alle gesammelten Daten werden an den Command-and-Control-Server (C2) des Angreifers gesendet. REVSTEALER umgeht Chromes App-Bound-Encryption-Schutz mit einer debugger-basierten Technik, wodurch er Anmeldedaten extrahieren kann, die neuere Browserversionen eigentlich schützen sollten.

Angegriffene Gaming-Plattformen

Ein bemerkenswerter Aspekt von REVSTEALER ist seine gezielte Ausrichtung auf Gaming. Er nimmt Session-Cookies und Konfigurationsdateien für Steam, Roblox, Minecraft, Battle.net, EA Desktop und Battlestate Games ins Visier. Da Gaming-Session-Cookies den Kontozugriff ohne Passwort ermöglichen, können Cyberkriminelle gekaperte Konten auf Untergrundmärkten weiterverkaufen.

Der Stealer unterstützt eine breite Palette an Browsererweiterungen, darunter Kryptowährungs-Wallet-Erweiterungen und Passwortmanager, sowie eigenständige, auf dem System installierte Software-Wallets. Diese Kombination aus Diebstahl von Gaming-Konten und dem Abgreifen von Wallets macht REVSTEALER besonders schädlich für Spieler, die auch Kryptowährungen besitzen.

Nachgeladene Module

REVSTEALER kann nach der ersten Infektion zusätzliche Module von seinem C2-Server empfangen, was seine Fähigkeiten erheblich erweitert. Vier Hauptmodule wurden von Elastic Security Labs dokumentiert.

ProManager konzentriert sich auf den Diebstahl von Kryptowährungs-Wallets, Browsererweiterungsdaten und Phishing-Overlays, die Passwörter heimlich erfassen, während der Benutzer sie eingibt. WinUpdate überwacht die Zwischenablage und tauscht kopierte Kryptowährungs-Wallet-Adressen gegen vom Angreifer kontrollierte aus.

SoftManager verwandelt den infizierten Rechner in einen Reverse-SOCKS5-Proxy, der den Datenverkehr des Angreifers über die Internetverbindung des Opfers leitet. LockAppHost installiert einen XMRig-Miner und richtet Persistenz ein, sodass die Malware Neustarts übersteht.

Umgehungs- und Anti-Analyse-Funktionen

Die meisten REVSTEALER-Samples sind mit VMProtect gepackt, was Analyse und Erkennung erheblich erschwert. Die Malware führt zudem ein gewichtetes Sandbox-Bewertungssystem mit zehn Umgebungsprüfungen aus. Erreicht der kombinierte Wert sieben oder höher - basierend auf Faktoren wie CPU-Kernanzahl, RAM, GPU-Hersteller und Systemlaufzeit -, beendet sich die Malware selbst.

REVSTEALER überspringt Systeme in Ländern der GUS-Region, indem er die Tastaturbelegung und Spracheinstellungen prüft. Er verwendet außerdem indirekte Systemaufrufe, um User-Mode-Hooks zu umgehen, auf die sich Sicherheitssoftware stützt, und verschlüsselt seine internen Zeichenketten, um eine Erkennung im Klartext zu vermeiden.

C2-Infrastruktur und Blockchain-Resilienz

REVSTEALER nutzt eine zweistufige C2-Strategie. Ist der primäre Server erreichbar, kommuniziert er direkt dorthin. Geht der primäre Server offline - beispielsweise nach einer Abschaltung durch den Hosting-Anbieter -, fragt die Malware bis zu fünf Polygon-Blockchain-Endpunkte ab, um eine Ausweich-C2-Adresse abzurufen.

Die Speicherung von C2-Daten in einem öffentlichen Blockchain-Smart-Contract macht es für Verteidiger weitaus schwerer, die Operation zu stören. Der Betreiber kann den Vertrag jederzeit mit einer neuen Serveradresse aktualisieren und so den Kontakt zu bereits infizierten Rechnern wiederherstellen. Dieser Ansatz bietet im Vergleich zu den meisten handelsüblichen Stealern eine ungewöhnliche Widerstandsfähigkeit.

Fazit

REVSTEALER ist eine leistungsfähige und heimliche Bedrohung, die Diebstahl von Anmeldedaten, Kaperung von Gaming-Konten und das Abgreifen von Kryptowährungs-Wallets mit einem erweiterbaren Modulsystem kombiniert. Opfer können den Zugriff auf Gaming-Konten verlieren, ihre Kryptowährungstransaktionen werden heimlich umgeleitet und ihre Computer schürfen im Hintergrund für einen Angreifer.

Sein blockchain-basiertes Ausweich-C2, die VMProtect-Packung und das ausgeklügelte Sandbox-Umgehungssystem machen ihn schwerer erkennbar und störbar als viele gängige Stealer. Jedes infizierte System sollte umgehend mit einem seriösen Sicherheitstool bereinigt werden.

Weitere Beispiele für Stealer sind LLHN, Vanta und WARDEN.

Wie ist REVSTEALER in meinen Computer eingedrungen?

Laut Elastic Security Labs wird REVSTEALER hauptsächlich über gekaperte YouTube-Kanäle verbreitet. Cyberkriminelle übernehmen etablierte Konten mit echten Abonnentenzahlen und veröffentlichen KI-generierte Videos, die kostenlose Spiele-Cheats, Mod-Menüs und Trainer bewerben. Mindestens 17 Kanäle wurden auf diese Weise genutzt und leiteten Zuschauer auf bösartige Domains wie elitecheatsx[.]live und resight-cheats[.]net.

Von diesen Seiten heruntergeladene Dateien geben sich als legitime Programme aus, darunter Slack, qBittorrent, Steel Series GG und Blender. Die Installationsprogramme enthalten die REVSTEALER-Nutzlast. Opfer glauben, ein Spiel-Optimierungstool zu installieren, während sie tatsächlich Malware ausführen.

Allgemeiner gesehen erreichen Trojaner und Stealer Benutzer auch über Phishing-E-Mails, bösartige Werbeanzeigen, nicht vertrauenswürdige Download-Seiten, P2P-Netzwerke und raubkopierte Software oder Cracks.

Wie kann man die Installation von Malware vermeiden?

Seien Sie vorsichtig bei jeglicher Software, die über YouTube-Videos, soziale Medien oder Gaming-Foren beworben wird - insbesondere bei „kostenlosen" Cheats, Mods oder gecrackten Tools. Laden Sie Software nur von der offiziellen Website des Entwicklers oder einer vertrauenswürdigen Plattform herunter. Meiden Sie raubkopierte Inhalte, Schlüsselgeneratoren und Spiel-Trainer aus unbekannten Quellen.

Halten Sie Ihr Betriebssystem und alle installierten Programme auf dem neuesten Stand und verwenden Sie eine seriöse Sicherheits-Suite mit Echtzeitschutz. Wenn Sie glauben, dass Ihr Computer bereits infiziert ist, empfehlen wir, einen Scan mit Combo Cleaner Antivirus für Windows durchzuführen, um eingedrungene Malware automatisch zu beseitigen.

Umgehende automatische Entfernung von Malware:

Die manuelle Entfernung einer Bedrohung kann ein langer und komplizierter Prozess sein, der fortgeschrittene Computerkenntnisse voraussetzt. Combo Cleaner ist ein professionelles, automatisches Malware-Entfernungstool, das zur Entfernung von Malware empfohlen wird. Laden Sie es durch Anklicken der untenstehenden Schaltfläche herunter:

Indem Sie Software, die auf dieser Internetseite aufgeführt ist, herunterladen, stimmen Sie unseren Datenschutzbestimmungen und Nutzungsbedingungen zu. Der kostenlose Scanner überprüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist RCS LT, die Muttergesellschaft von PCRisk.

Schnellmenü:

• Was ist REVSTEALER?
• SCHRITT 1. Manuelle Entfernung der REVSTEALER-Malware.
• SCHRITT 2. Überprüfen Sie, ob Ihr Computer sauber ist.

Wie entfernt man Malware manuell?

Die manuelle Entfernung von Malware ist eine komplizierte Aufgabe - in der Regel ist es am besten, Antiviren- oder Anti-Malware-Programme dies automatisch erledigen zu lassen. Zur Entfernung dieser Malware empfehlen wir die Verwendung von Combo Cleaner Antivirus für Windows.

Wenn Sie Malware manuell entfernen möchten, besteht der erste Schritt darin, den Namen der Malware zu ermitteln, die Sie zu entfernen versuchen. Hier ist ein Beispiel für ein verdächtiges Programm, das auf dem Computer eines Benutzers läuft:

Wenn Sie die Liste der auf Ihrem Computer laufenden Programme überprüft haben, zum Beispiel mithilfe des Task-Managers, und ein Programm gefunden haben, das verdächtig aussieht, sollten Sie mit diesen Schritten fortfahren:

Laden Sie ein Programm namens Autoruns herunter. Dieses Programm zeigt automatisch startende Anwendungen sowie Registry- und Dateisystem-Speicherorte an:

Starten Sie Ihren Computer im abgesicherten Modus neu:

Benutzer von Windows XP und Windows 7: Starten Sie Ihren Computer im abgesicherten Modus. Klicken Sie auf Start, klicken Sie auf Herunterfahren, klicken Sie auf Neu starten, klicken Sie auf OK. Drücken Sie während des Startvorgangs Ihres Computers mehrmals die Taste F8 auf Ihrer Tastatur, bis das Menü „Erweiterte Windows-Optionen" erscheint, und wählen Sie dann „Abgesicherter Modus mit Netzwerktreibern" aus der Liste.

Video, das zeigt, wie man Windows 7 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Benutzer von Windows 8: Starten Sie Windows 8 im abgesicherten Modus mit Netzwerktreibern - Gehen Sie zum Windows 8-Startbildschirm, geben Sie „Erweitert" ein und wählen Sie in den Suchergebnissen „Einstellungen". Klicken Sie auf „Erweiterte Startoptionen" und wählen Sie im geöffneten Fenster „Allgemeine PC-Einstellungen" die Option „Erweiterter Start".

Klicken Sie auf die Schaltfläche „Jetzt neu starten". Ihr Computer wird nun in das Menü „Erweiterte Startoptionen" neu gestartet. Klicken Sie auf die Schaltfläche „Problembehandlung" und dann auf die Schaltfläche „Erweiterte Optionen". Klicken Sie im Bildschirm mit den erweiterten Optionen auf „Starteinstellungen".

Klicken Sie auf die Schaltfläche „Neu starten". Ihr PC wird in den Bildschirm „Starteinstellungen" neu gestartet. Drücken Sie F5, um im abgesicherten Modus mit Netzwerktreibern zu starten.

Video, das zeigt, wie man Windows 8 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Benutzer von Windows 10: Klicken Sie auf das Windows-Logo und wählen Sie das Ein/Aus-Symbol. Klicken Sie im geöffneten Menü auf „Neu starten", während Sie die „Umschalttaste" auf Ihrer Tastatur gedrückt halten. Klicken Sie im Fenster „Option auswählen" auf „Problembehandlung" und wählen Sie anschließend „Erweiterte Optionen".

Wählen Sie im Menü der erweiterten Optionen „Starteinstellungen" und klicken Sie auf die Schaltfläche „Neu starten". Im folgenden Fenster sollten Sie die Taste „F5" auf Ihrer Tastatur drücken. Dadurch wird Ihr Betriebssystem im abgesicherten Modus mit Netzwerktreibern neu gestartet.

Video, das zeigt, wie man Windows 10 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Entpacken Sie das heruntergeladene Archiv und führen Sie die Datei Autoruns.exe aus.

Klicken Sie in der Autoruns-Anwendung oben auf „Options" und deaktivieren Sie die Optionen „Hide Empty Locations" und „Hide Windows Entries". Klicken Sie anschließend auf das Symbol „Refresh".

Überprüfen Sie die von der Autoruns-Anwendung bereitgestellte Liste und lokalisieren Sie die Malware-Datei, die Sie beseitigen möchten.

Sie sollten den vollständigen Pfad und Namen notieren. Beachten Sie, dass manche Malware Prozessnamen unter legitimen Windows-Prozessnamen verbirgt. In diesem Stadium ist es sehr wichtig, das Entfernen von Systemdateien zu vermeiden. Nachdem Sie das verdächtige Programm gefunden haben, das Sie entfernen möchten, klicken Sie mit der rechten Maustaste auf seinen Namen und wählen Sie „Delete".

Nachdem Sie die Malware über die Autoruns-Anwendung entfernt haben (dies stellt sicher, dass die Malware beim nächsten Systemstart nicht automatisch ausgeführt wird), sollten Sie auf Ihrem Computer nach dem Malware-Namen suchen. Stellen Sie sicher, dass Sie versteckte Dateien und Ordner aktivieren, bevor Sie fortfahren. Wenn Sie den Dateinamen der Malware finden, entfernen Sie ihn unbedingt.

Starten Sie Ihren Computer im normalen Modus neu. Das Befolgen dieser Schritte sollte jegliche Malware von Ihrem Computer entfernen. Beachten Sie, dass die manuelle Entfernung von Bedrohungen fortgeschrittene Computerkenntnisse erfordert. Wenn Sie nicht über diese Kenntnisse verfügen, überlassen Sie die Entfernung von Malware Antiviren- und Anti-Malware-Programmen.

Diese Schritte funktionieren möglicherweise nicht bei fortgeschrittenen Malware-Infektionen. Wie immer ist es am besten, eine Infektion zu verhindern, statt zu versuchen, Malware später zu entfernen. Um Ihren Computer sicher zu halten, installieren Sie die neuesten Betriebssystem-Updates und verwenden Sie Antivirensoftware. Um sicherzustellen, dass Ihr Computer frei von Malware-Infektionen ist, empfehlen wir, ihn mit Combo Cleaner Antivirus für Windows zu scannen.

Häufig gestellte Fragen (FAQ)

Mein Computer ist mit REVSTEALER-Malware infiziert. Sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Das Formatieren des Laufwerks entfernt REVSTEALER, löscht aber auch jede darauf befindliche Datei. Ein seriöses Sicherheitstool wie Combo Cleaner auszuführen, ist der bessere erste Schritt - es kann die Malware erkennen und beseitigen, ohne Ihre Daten zu zerstören.

Was sind die größten Probleme, die REVSTEALER-Malware verursachen kann?

REVSTEALER kann gespeicherte Passwörter, Browser-Cookies und Kryptowährungs-Wallet-Dateien stehlen, was zu Kontoübernahmen und finanziellen Verlusten führt. Er nimmt auch Gaming-Konten auf Plattformen wie Steam und Roblox ins Visier, die Cyberkriminelle auf Untergrundmärkten weiterverkaufen.

Über seine nachgeladenen Module kann die Malware Kryptowährungstransaktionen heimlich umleiten, digitale Währung mit der Hardware des Opfers schürfen und den Datenverkehr des Angreifers über die Internetverbindung des Opfers leiten.

Was ist der Zweck der REVSTEALER-Malware?

REVSTEALER ist darauf ausgelegt, Anmeldedaten und Session-Daten zu stehlen, mit besonderem Fokus auf Gaming-Konten und Kryptowährungs-Wallets. Sein erweiterbares Modulsystem ermöglicht es Betreibern zudem, nach der ersten Infektion Zwischenablage-Hijacking-, Mining- und Proxy-Funktionen hinzuzufügen.

Wie ist die REVSTEALER-Malware in meinen Computer eingedrungen?

REVSTEALER wurde über gekaperte YouTube-Kanäle verbreitet, die kostenlose Spiele-Cheats oder Mod-Menüs bewerben. Das Anklicken der Links in diesen Videos führt zu bösartigen Seiten, auf denen die Nutzlast als legitimes Programm wie Slack oder qBittorrent getarnt ist.

Wird Combo Cleaner mich vor Malware schützen?

Ja. Combo Cleaner kann die meisten bekannten Malware-Programme erkennen und entfernen. Da REVSTEALER VMProtect-Packung und fortgeschrittene Umgehungstechniken verwendet, wird empfohlen, einen vollständigen Systemscan durchzuführen, um sicherzustellen, dass nichts übersehen wird.