新興インフォスティーラー「REVSTEALER」が4つの追加モジュールで機能拡張 — Defender除外・更新停止でXMRigを採掘、Elasticが分析を公開

Elastic Security Labsは2026年9月2日、新興のWindows向けインフォスティーラー（情報窃取マルウェア）REVSTEALERの分析「REVSTEALER ramps up: analysis of up-and-coming infostealer」を公開した。同社はこのマルウェアを追跡名REF2859として追跡している。REVSTEALERはブラウザや仮想通貨ウォレットの認証情報を幅広く窃取する本体に加え、攻撃者の指令（C2タスク）で届く4つの追加モジュールで機能を拡張する。4モジュールの存在が公に文書化されるのは今回が初めてだとされる。

感染の起点 — 乗っ取られたYouTubeチャンネルの「無料チート」動画

Elasticによると、確認された拡散経路の一つはゲーマーを狙うソーシャルエンジニアリングだ。既存の登録者基盤を持つYouTubeチャンネルを乗っ取り、1〜2分のAI生成動画でゲームチートの実演を見せて、概要欄の悪性サイトへ誘導する。関連ドメインとしてelitecheatsx[.]liveとresight-cheats[.]netを宣伝するチャンネルが少なくとも17件確認された。

チート動画は観測された見せ方の一つにすぎない。関連する検体にはSlack、qBittorrent、SteelSeries GG、Blenderといった無関係の有名ソフトを装うファイル名やメタデータを持つものもあり、複数の誘い文句向けに用意されているとみられる。Elasticが公開したYARAルールでVirusTotalの過去データをさかのぼって調べたところ、過去1年で約4700件の検体が一致した。

本体の特徴 — 広範な窃取と解析回避の作り込み

REVSTEALERの窃取対象は、ブラウザの認証情報とCookie、仮想通貨ウォレット、ブラウザ拡張機能にとどまらない。メッセージアプリ、ゲームプラットフォーム、VPN、FTPクライアント、OBS Studio、Windows付箋、2要素認証アプリ、利用者ディレクトリ内の文書や設定ファイルにも及ぶ。Chromium系拡張機能の識別子225件と単体ウォレットアプリ51件を標的に含む。

注目されるのは、ChromeのApp-Bound Encryption（アプリ結合暗号化：ブラウザの秘密情報をその端末の正規ブラウザに結び付けて保護する仕組み）の回避実装だ。ブラウザプロセスをデバッガー制御下で起動し、復号処理の近くにハードウェアブレークポイントを仕掛けて、メモリ上から復号済みの鍵を直接読み出す。公開プロジェクトChromeKatzの影響を受けている可能性があるとされる。

解析回避の仕組みも多層的だ。端末の言語とキーボード配列を調べて旧ソ連圏（CIS）の地域に該当すれば動作を終了する。10項目の検査に重み付けして点数化するサンドボックス判定では、合計7点以上で解析環境と判断して自己終了する。指令サーバーが使えない場合の予備として、Polygonブロックチェーン上のスマートコントラクトから暗号化された予備C2アドレスを読み出す「デッドドロップ」（EtherHiding）も備える。素の検体には16バイトの透かしが埋め込まれ、起動時に6文字トークンの入力を求める確認画面が出る。LummaStealerやAuraStealerでも見られた手法で、無防備な検体の拡散抑止と解析妨害の両方に機能するとされる。

ゲーム関連の窃取も意図的だ。Steam、Battle.net、EA Desktop、Roblox、Minecraftなどの設定・セッションファイルを狙い、RobloxではセッションCookieを復号してパスワードなしの乗っ取りを可能にする。被害者のアカウントが転売市場で金銭的価値を持つことを開発者が理解しているとElasticは指摘している。

4つの追加モジュール — 窃取の拡張から採掘・遠隔操作まで

C2からの指示で追加の実行ファイルとして届く4モジュールは、それぞれ役割が異なる。

モジュール	役割
ProManager	ウォレット関連ファイルとブラウザ拡張機能の窃取、ウォレットを装う偽画面、入力の記録、追加ペイロードの配信
WinUpdate	送金先アドレスのすり替え（クリッピング）と、ニーモニック（復元フレーズ）形式のテキスト窃取
SoftManager	暗号化WebSocket上のリバースSOCKS5プロキシとバックコネクト接続による遠隔アクセス
LockAppHost	XMRigの展開、競合の停止、永続化による仮想通貨の採掘

4モジュールに共通するのは、設定の難読化、VMProtect系の保護、PolygonスマートコントラクトをC2やXMRigの起動引数の置き換え可能な置き場として使う点だ。

このうちLockAppHostは、Elasticが同時公開した技術ホワイトペーパーで詳細が明かされた多段階の採掘部品だ。内包されたコントローラーは防御機能の無効化を担い、PowerShellでMicrosoft Defenderに広範な除外（ユーザープロファイル・ProgramData・TEMPと.exe/.sys拡張子）を追加する。Windows Update関連ではUsoSvc・WaaSMedicSvc・wuauserv・BITS・dosvcの5サービスを無効化して停止し、レジストリの自動更新ポリシーを書き換え、11件の更新関連スケジュールタスクを無効化する。マルウェア対策ツールmrt.exeの終了と関連タスクの無効化も行うとされる。UAC（ユーザーアカウント制御）の回避にはCMSTPの手法を用い、管理者権限の有無に応じてRunキーまたは自動起動サービスで永続化する。XMRig本体とWinRing0ドライバーを復号して停止中のWindowsプロセス内に配置し、採掘の引数はPolygon経由で取得する。

Elasticが公開した検出資材

Elasticはこの分析とあわせて、検出・解析のための資材を公開している。検出ルールと防止ルールの一式、YARAルール（Windows_Trojan_RevStealer.yar）、侵害指標（IoC）のファイル、IDA Pro向けの文字列復号スクリプトで、いずれも同社のGitHubリポジトリから入手できる。IoCにはローダーと4モジュールのSHA-256ハッシュ、各モジュールのC2ドメイン、Polygonコントラクトのアドレスが含まれる。

感染の起点は、利用者自身がチート動画や正規ソフトを装うファイルを開くことにある。Elasticの報告が示す通り、REVSTEALERは単なる窃取ツールから、プロキシ化と採掘まで担う常駐型の足場へと拡張を続けている。