根據 Elastic Security Labs 的最新研究報告，一種名為 REVSTEALER 的新型 Windows 資訊竊取軟體（Information Stealer）展現出極高的隱蔽性與破壞力。這類惡意軟體的核心目的在於竊取使用者的敏感資料，但研究發現其威脅並不止於此。除了主程式在完成任務後會自動刪除以抹除蹤跡，它還能部署四個獨立的後續模組，將受感染的電腦即便在主程式消失後，仍可能被用作攻擊者的跳板、被盜取加密貨幣，甚至被強制運行挖礦程式。
REVSTEALER 的傳播路徑主要依賴社交工程攻擊。攻擊者利用被盜取的 YouTube 頻道，發布由 AI 生成的短片來推廣遊戲外掛網站，誘騙使用者下載。此外，它也會偽裝成盜版或仿冒的軟體，例如一款偽造的 Claude Opus 5 免費桌面應用程式，利用知名 AI 品牌的信任感來誘使使用者安裝。
核心竊取功能與高度隱蔽技術
REVSTEALER 的主程式採取的是快進快出的策略。它會大規模搜集瀏覽器的密碼與 Cookie、超過 50 種加密貨幣錢包的檔案及其瀏覽器擴充功能、Telegram 等通訊軟體的對話紀錄，以及 VPN 與 FTP 的配置資訊。針對特定遊戲平台如 Roblox，它能解密儲存的會話 Cookie，讓攻擊者無需密碼即可直接接管帳號。
為了對抗 Chrome 瀏覽器的 App-Bound Encryption（應用程式綁定加密，一種旨在防止外部程式讀取儲存密碼的安全機制），REVSTEALER 會以偵錯模式（Debugger）啟動瀏覽器，直接從記憶體中讀取解密金鑰。這種技術被認為是參考了公開的 ElevationKatz 專案，旨在繞過現代瀏覽器的安全保護。
為了規避安全分析，該軟體內建了 10 項沙箱檢測，若判定環境為分析環境則停止運作；同時它會偵測系統語言，若發現是俄語或中亞地區語言則會自動終止。在技術層面，它不使用標準的匯入表（Import Table）來解析 Windows 函數，而是透過間接系統調用（Indirect System Calls）直接與內核溝通，藉此繞過安全產品安裝的鉤子（Hooks）監控。此外，它利用 Polygon 區塊鏈的智能合約來儲存備用指令伺服器地址，這種被稱為 EtherHiding 的手法讓安全人員難以透過封鎖單一域名來徹底癱瘓其控制體系。
四個後續模組的協同作戰
當主程式完成資料回傳並自我刪除後，受感染系統中可能仍殘留著四個具有持久化能力的模組。這四個程式分別為 ProManager、WinUpdate、SoftManager 與 LockAppHost，它們透過登錄檔啟動項（Registry Run key）或排程工作確保在系統重啟後依然運行。
ProManager 專攻桌面加密貨幣錢包。由於許多錢包基於 Electron 框架（一種讓開發者使用網頁技術開發桌面應用程式的框架）構建，ProManager 會讀取錢包視窗的位置，並在上方覆蓋一層由攻擊者控制的偽造介面。當使用者在偽造介面輸入密碼或助記詞時，該模組會將其記錄並傳回。
WinUpdate 則採取剪貼簿劫持策略。它會持續監控使用者的剪貼簿，一旦偵測到加密貨幣地址，便立即將其替換為攻擊者的地址，確保使用者在轉帳時將資金發送到錯誤的帳戶。
SoftManager 將受害電腦轉化為反向代理（Reverse Proxy）。這意味著攻擊者的網路流量會透過受害者的連線轉發，掩蓋攻擊者的真實 IP 地址，使其能利用受害者的身分發起進一步的攻擊。
最具有破壞性的是 LockAppHost。該模組旨在運行加密貨幣挖礦程式，但為了確保挖礦效率且不被發現，它會首先嘗試利用 Windows 的 CMSTP 工具獲取管理員權限。一旦權限提升，它會採取極端手段削弱系統防禦：將特定資料夾與檔案類型加入 Microsoft Defender 的排除名單、禁用 5 個 Windows Update 服務、關閉 11 個排程更新任務以及 2 個惡意軟體清除任務。最後，它將挖礦程式隱藏在 nslookup.exe 或 svchost.exe 等合法 Windows 進程中運行。
實務影響與復原限制
這類攻擊最危險之處在於其非線性的損害過程。使用者可能在發現主程式被刪除後誤以為威脅已解除，但實際上系統防禦已被 LockAppHost 永久性地削弱，且挖礦程式仍在後台耗盡資源。即便後續發現並刪除了挖礦程式，被禁用的 Windows Update 與 Defender 排除設定依然存在，使系統長期處於易受攻擊的狀態。
對於受感染者而言，單純的更改密碼不足以解決問題，因為 REVSTEALER 已經竊取了會話 Cookie 與加密金鑰，這意味著攻擊者可以繞過多因素認證直接進入帳號。正確的處置流程應包含：強制結束所有帳號的活動會話（End active sessions）、更改所有敏感帳號密碼、手動恢復被禁用的 Windows Update 服務與排程任務，並清除 Microsoft Defender 的異常排除項。
總結來說，REVSTEALER 代表了現代資訊竊取軟體向模組化與系統級破壞演進的趨勢。它不再滿足於一次性的資料盜取，而是透過削弱作業系統的安全基底，將受害設備轉化為長期可利用的資產。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。