情報窃取マルウェア「REVSTEALER」に関連する4種の新モジュール判明、更新やDefenderを停止しマイナーを実行

要点

• セキュリティ企業のElastic Security Labsが、Windows向け情報窃取マルウェア「REVSTEALER」に関連する4つの未報告プログラムを特定した。

• 本体のマルウェアが情報窃取後に自身を削除するのに対し、新たに確認された4モジュールはシステム内に潜伏し続ける。

• 最も影響が大きい「LockAppHost」は、管理者権限を取得した上でWindows UpdateやMicrosoft Defenderを無効化し、暗号資産マイナーを稼働させる。

• 偽画面を重ねるオーバーレイ攻撃、クリップボードの送金先アドレス改ざん、端末のリバースプロキシ化など、暗号資産や通信を狙うモジュールも含まれる。

• 4つのプログラムは同一のパッカーやPolygonスマートコントラクトによる設定取得など、REVSTEALERと共通のビルド手法を持つ。

• セキュリティ企業のElastic Security Labsは2026年9月2日、Windows環境を標的とする情報窃取型マルウェア（インフォスティーラー）「REVSTEALER」に関連する4つの新たなプログラムを特定したとする調査結果を発表した。REVSTEALER本体は資格情報などを盗み出した後に自身を削除して痕跡を消すが、今回判明した4つのプログラムは感染端末内に潜伏し続け、OSのセキュリティ機能の停止や暗号資産マイニング、通信の中継などを実行するという。

痕跡を消す本体と、端末内に潜伏し続ける4つのモジュール

Elastic Security Labsが公開したホワイトペーパーによると、REVSTEALERは少なくとも2026年2月（VirusTotalで最古の検体が確認された時期）から商用マルウェアとして販売されている。

このマルウェアの本体は、ウェブブラウザに保存されたパスワードやCookieをはじめ、50種類以上の暗号資産ウォレット、Telegramなどのメッセージングアプリのセッション、VPNやFTPの設定情報、パスワードマネージャー、Windows資格情報マネージャー、端末内の特定ドキュメントなどを網羅的に窃取する。さらに、オンラインゲーム「Roblox」のセッションCookieを復号してパスワードなしでアカウントを乗っ取る機能や、Google Chromeの暗号化機能「App-Bound Encryption」で保護されたデータを取得するためにブラウザをデバッガ経由で起動してメモリから復号キーを読み取る手法なども備えている。

本体はデータの収集と外部サーバーへの送信が完了すると、サーバーへ完了を報告した後に自身を完全に削除し、システム上に持続的な痕跡を残さない設計となっている。

しかし、同社がREVSTEALERの調査を進める中で、同一の環境から「ProManager」「WinUpdate」「SoftManager」「LockAppHost」と名付けられた4つの未報告プログラムが回収された。これらは本体とは異なり、ユーザープロファイル内に居座り続けて活動を行う。4つのプログラムは本体と同じパッカー（コードを難読化・圧縮するツール）や実行時の関数解決手法を採用しており、バックアップ用の設定取得にPolygonブロックチェーンのスマートコントラクトを利用するなど、開発・ビルドの手法を共有していることが確認された。

セキュリティ機能を無効化してマイナーを動かす「LockAppHost」

今回確認された4つのプログラムの中で、最もシステムへの影響が大きいとされているのが「LockAppHost」だ。

LockAppHostは、Windowsに標準搭載されている「CMSTP（Connection Manager Profile Installer）」ツールを悪用して管理者権限への昇格を試みる。これが失敗した場合は、標準のユーザーアカウント制御（UAC）ダイアログを表示して権限の取得を図る。

管理者権限を獲得したLockAppHostは、まずセキュリティ対策を広範囲にわたって無力化する。具体的には、Microsoft Defenderの検査除外リストに一般的なフォルダやファイル形式を追加するほか、5つのWindows Update関連サービスを停止させる。さらに、タスクスケジューラに登録されている11件の更新関連タスクと2件のマルウェア削除タスクを無効化する。

こうして防御機能を無効化した上で、正規のWindowsプロセス内に暗号資産マイナー（マイニングプログラム）を隠蔽して実行する。同社は、仮にマイナー自体が発見されたとしても、システムに加えられた防御機能の無効化設定はそのまま残り続けるため、端末が脆弱な状態に置かれ続ける点に注意を促している。LockAppHostはレジストリのRunキーまたはシステムサービスとして登録され、再起動後も動作を維持する。

暗号資産やネットワークを狙う3つのモジュール

残る3つのプログラムも、それぞれ特化した機能で暗号資産やシステムリソースを標的とする。

• ProManager: デスクトップ版の暗号資産ウォレット利用者を標的とするプログラム。多くのウォレットアプリが「Electron」フレームワークで開発されている点に着目し、ウォレットのウィンドウ位置情報を読み取った上で、本物のウィンドウと寸分違わぬサイズ・位置で攻撃者のコンテンツを画面上に重ねて表示（オーバーレイ）する。アプリ本体を改変することなく偽画面を表示させ、パスワード入力欄に入力された文字列やクリップボードから貼り付けられた値を記録する。ウォレットファイルやブラウザ拡張機能の窃取機能も備え、レジストリのRunキーで永続化する。
• WinUpdate: クリップボードの監視に特化したプログラム。ユーザーが暗号資産のアドレスをコピーしたことを検知すると、即座に攻撃者のアドレスへと書き換える。また、ウォレットの復旧に必要なシードフレーズ（リカバリーフレーズ）に類似した文字列も収集する。タスクスケジューラやレジストリのRunキーを利用して常駐する。
• SoftManager: 感染端末を「リバースプロキシ（外部からの通信を中継する仕組み）」として機能させるプログラム。攻撃者のネットワークトラフィックを被害者の回線を経由してルーティングさせることで、攻撃の発信元を偽装する。ログオンスクリプトやタスクスケジューラ、レジストリのRunキーによって永続化される。

感染経路と技術的な背景

Elastic Security Labsによると、REVSTEALERは主にゲームのチートツールなどを装って被害者の端末に侵入するという。

今回特定された4つのプログラムについて、同社は実際の感染端末上でREVSTEALER本体からこれらが直接配信・実行された瞬間（ハンドオフ）自体は確認していないとしている。ただし、コードの共通性や調査時の状況証拠から、これらを単一の「アクティビティセット」として位置づけている。

また、REVSTEALERが採用しているChromeのApp-Bound Encryptionをバイパスする技術については、公開プロジェクト「ElevationKatz」を改変したものとみられており、2026年3月にセキュリティ企業Gen Digitalが「VoidStealer」で実環境における初観測を報告した手法と同様のものであると説明されている。