REVSTEALER 연계 모듈 4종, Windows Update·Defender 비활성화 후 암호화폐 채굴기 실행

한 줄 요약

REVSTEALER는 2026년 2월부터 판매되기 시작한 윈도우용 정보 탈취 악성코드로, 브라우저 비밀번호·쿠키, 암호화폐 지갑, 게임 계정, 메시지 앱 데이터 등을 훔친 뒤 스스로 삭제됩니다. 그런데 삭제 후에도 피해 PC에 남아 계속 작동하는 모듈 4개가 새로 발견됐습니다. 이 중 LockAppHost는 Windows Update와 Microsoft Defender(윈도우 기본 백신)를 비활성화한 뒤 암호화폐 채굴 프로그램을 몰래 실행하며, SoftManager는 피해자 PC를 공격자 네트워크의 우회 경로(리버스 프록시)로 악용합니다. 주된 감염 경로는 유튜브의 게임 치트 영상과 가짜 AI 소프트웨어(예: "Claude Opus 5 Free Desktop")이므로, 비공식 경로의 소프트웨어 다운로드를 반드시 피해야 합니다. 감염이 의심되면 비밀번호 변경과 세션 초기화는 물론, 비활성화된 Windows Update 서비스와 Defender 예외 설정을 원상복구해야 합니다.

사건

Elastic Security Labs가 상업용 인포스틸러 REVSTEALER와 연계된 4개의 신규 모듈(ProManager, WinUpdate, SoftManager, LockAppHost)을 문서화했다. 핵심 스틸러는 자가 삭제되지만 4개 모듈은 피해 PC에 지속 잔류한다.

영향

암호화폐 지갑 탈취 및 클립보드 주소 교체, Windows Update·Defender 비활성화 후 채굴 악성코드 실행, 피해자 PC의 리버스 프록시 악용, 브라우저 저장 자격증명·세션 쿠키·App-Bound 암호화 키 전량 탈취. VirusTotal 기준 약 4,700개 샘플 확인.

원인

게임 치트 유인(유튜브 AI 생성 영상, 납치된 채널 최소 17개)과 가짜 AI 소프트웨어(예: 'Claude Opus 5 Free Desktop') 등 사회공학 배포. 분석 회피를 위해 샌드박스 탐지 10개 항목, 간접 시스템 호출, Polygon 블록체인 기반 백업 C2(EtherHiding) 사용.

대응

Elastic이 YARA 룰·행위 탐지 룰·침해지표(IoC)를 공개했다. 감염 시 LockAppHost가 끈 Windows Update 서비스·예약 작업 재활성화, Defender 예외 목록 제거, nslookup.exe·svchost.exe 내 채굴기 탐색이 필요하다. 영향받은 사용자는 비밀번호 재설정만으로는 부족하며 모든 활성 세션을 종료해야 한다.

실무 포인트

핵심 스틸러가 자가 삭제되어도 잔류 모듈이 계속 동작하므로 '스틸러 제거 완료'가 사고 종결을 의미하지 않는다. 공식 채널 외 소프트웨어(AI 툴, 게임 치트 포함) 설치를 차단하고, 공개된 SHA-256 해시·도메인 IoC를 즉시 EDR·방화벽에 반영해야 한다.

본문

Elastic Security Labs는 신흥 윈도우 정보 탈취 악성코드인 REVSTEALER와 연관된, 기존에 보고된 바 없는 4개의 프로그램을 문서화했다. 이 프로그램들은 스틸러가 자가 삭제된 이후에도 감염된 PC에 잔류한다.

그 중 하나는 Windows Update와 Microsoft Defender를 비활성화한 뒤 암호화폐 채굴기를 실행한다.

Elastic은 네 프로그램을 ProManager, WinUpdate, SoftManager, LockAppHost로 명명하고, 기술 백서와 함께 9월 2일 분석 결과를 공개했다. REVSTEALER는 적어도 2026년 2월부터 상업용 인포스틸러로 판매되어 왔으며, 이때가 VirusTotal에서 최초 샘플이 탐지된 시점이다.

핵심 스틸러는 브라우저 비밀번호·쿠키, 암호화폐 지갑, 게임 계정, 메시지 데이터, 파일을 탈취한 뒤 서버에 "완료"를 보고하고 자가 삭제되며 어떤 지속성도 남기지 않는다. 새로 문서화된 4개 프로그램은 다르게 작동한다. 각각은 사용자 프로필에 자신을 설치하고 그대로 잔류한다.

Elastic은 REVSTEALER와 동일한 조사에서 4개 프로그램을 수거했으며, 동일한 패커, 런타임 함수 해석 방식, 백업 설정을 위한 Polygon 스마트 컨트랙트 사용 등 빌드 제작 방식이 공유된다는 점을 확인했다.

핵심 스틸러는 추가 실행 파일을 명령줄로 내려받아 실행할 수도 있다. Elastic은 실제 REVSTEALER 감염 호스트에서 4개 모듈이 전달되는 것을 관측하지는 못했으므로, 연관성은 코드 공유와 수사 정황에 근거한 것이지 직접적인 전달 과정이 관찰된 것은 아니다.

Elastic은 이 구성 요소들을 "활동 세트"로 설명하며, 스틸러 자체에 로드되는 플러그인이 아닌 별도의 실행 파일임을 명시했다.

Elastic이 설명한 각 프로그램의 기능:

ProManager 지갑 파일과 브라우저 지갑 확장 프로그램 탈취, 지갑 애플리케이션 창 위에 공격자 제어 콘텐츠 표시, 비밀번호 또는 패스프레이즈 입력 필드로 식별한 곳에 입력되거나 붙여넣기된 비밀번호 기록 — 레지스트리 Run 키 사용 WinUpdate 클립보드를 감시하여 복사된 암호화폐 주소를 공격자 주소로 교체하고, 지갑 복구 구문처럼 보이는 텍스트 수집 — 예약 작업(스케줄드 태스크), 장애 시 레지스트리 Run 키 사용 SoftManager 피해자 인터넷 연결을 통해 공격자 네트워크 트래픽을 우회시키는 리버스 프록시로 PC를 전환 — 로그온 스크립트, 예약 작업, 또는 레지스트리 Run 키 사용 LockAppHost Windows Update를 비활성화하고 Microsoft Defender에서 폴더를 제외한 뒤 관리자 권한으로 암호화폐 채굴기 실행 — 레지스트리 Run 키 또는 서비스 사용

LockAppHost는 4개 중 가장 파괴적이다. 관리자 권한 획득을 위해 윈도우 CMSTP 도구를 악용하며, 실패 시 표준 권한 상승 창을 대체 수단으로 사용한다.

권한 상승 후에는 주요 폴더 및 파일 형식에 대해 Microsoft Defender 예외를 추가하고, Windows Update 서비스 5개를 비활성화하며, 업데이트 예약 작업 11개와 악성코드 제거 작업 2개를 비활성화한 뒤, 정상 윈도우 프로세스 내에 채굴기를 숨긴다. PC 방어 체계를 약화시키기 위해 적용된 변경 사항들은 채굴기가 발견된 이후에도 그대로 남는다.

ProManager는 데스크탑 암호화폐 지갑 사용자를 표적으로 한다. 대부분의 지갑이 Electron 프레임워크로 제작되어 있으므로, ProManager는 지갑 창의 저장된 위치를 읽고 지갑 프로그램 자체는 건드리지 않은 채 공격자가 제공한 콘텐츠를 같은 크기·위치로 그 위에 덮어씌운다.

모듈의 별도 부분은 사용자가 비밀번호와 패스프레이즈 필드에 입력하는 내용을 기록하며, 클립보드에서 붙여넣기한 값도 포함한다.

모듈들이 도달하기 전에, REVSTEALER는 광범위하게 데이터를 수집한다. 브라우저 비밀번호·쿠키, 50개 이상의 암호화폐 지갑과 다수의 지갑 브라우저 확장 프로그램의 파일, Telegram 및 기타 메시지 클라이언트의 세션 데이터, VPN·FTP 설정, Windows 자격 증명 관리자, 비밀번호 관리자, 그리고 선택된 문서들이 대상이다.

일부 게임 플랫폼의 경우 더 나아간다. 저장된 Roblox 세션 쿠키를 복호화하여 비밀번호 없이도 계정을 탈취할 수 있도록 한다.

Chrome의 App-Bound Encryption(앱 연동 암호화)으로 보호된 자격증명을 획득하기 위해, REVSTEALER는 브라우저를 디버거로 실행한 뒤 메모리에서 복호화 키를 읽어 낸다. 이는 새로운 기법이 아니며 REVSTEALER에만 국한된 것도 아니다.

Elastic은 공개된 ElevationKatz 프로젝트에서 응용되었을 가능성이 높으며, 2026년 3월 또 다른 스틸러인 VoidStealer에서도 사용되었다고 밝혔다. VoidStealer를 분석한 Gen Digital은 이를 해당 기법을 실제 환경에서 사용한 최초의 인포스틸러로 묘사했다.

REVSTEALER는 주로 게임 치트 유인을 통해 피해자에게 전달된다. Elastic은 두 개의 치트 웹사이트를 짧은 AI 생성 영상으로 홍보한 유튜브 채널을 최소 17개 확인했으며, 상당수는 원래 소유자에게서 탈취된 채널이었다.

이 악성코드는 Morphisec이 8월 31일 문서화한 가짜 "Claude Opus 5 Free Desktop" 애플리케이션을 포함하여, 불법 복제 또는 사칭 소프트웨어로 패키징되기도 했다. 해당 애플리케이션은 Anthropic의 브랜드를 도용했으나, Anthropic 자체가 침해되었다는 징후는 없다. Elastic의 탐지 룰은 지난 1년간 VirusTotal에서 약 4,700개의 샘플과 일치했으며, 이는 확인된 감염 건수가 아닌 파일 수이다.

REVSTEALER는 분석 방해에 특화되어 있다. 10개 항목의 샌드박스 검사를 통해 점수가 일정 이상이면 실행을 중단하며, 러시아 및 중앙아시아에서 사용하는 10개 언어 중 하나로 설정된 시스템에서는 종료된다.

정상적인 임포트 테이블 없이 윈도우 함수를 해석하고, 보안 제품이 설치한 후킹을 우회하기 위해 간접 시스템 호출을 통해 커널을 직접 호출한다. 주 명령 서버에 접근이 불가능한 경우, Polygon 블록체인의 스마트 컨트랙트에서 백업 주소를 읽어 오는데, 이는 EtherHiding으로 알려진 테이크다운 저항성이 높은 방식이다.

언패킹된 빌드에서는 실행 전에 무작위 6자리 코드를 요구하는 확인 창도 발견된다. 이는 자동화 분석을 방해하는 장치로, Elastic은 Lumma Stealer 및 AuraStealer의 방식과 유사하다고 설명했다.

감염 위험을 줄이려면 유료 AI 툴이나 게임 치트의 "무료" 또는 비공식 버전 다운로드를 피하고, Anthropic의 공식 채널에서만 Claude를 설치해야 한다.

Elastic은 탐지 및 차단을 위한 YARA 룰, 행위 탐지 룰, 침해지표(IoC) 세트를 공개했다. 공개된 YARA 파일은 핵심 스틸러와 ProManager, SoftManager, WinUpdate 모듈을 포함하나, 채굴 모듈인 LockAppHost에 대한 룰은 포함되어 있지 않다.

핵심 스틸러가 자가 삭제되므로 감염이 완료된 것처럼 보일 수 있지만 모듈들은 계속 실행 중일 수 있다. LockAppHost가 실행된 경우, 대응 담당자는 해당 모듈이 비활성화한 Windows Update 서비스와 예약 작업을 재활성화하고, 추가된 Microsoft Defender 예외를 제거하며, nslookup.exe 또는 svchost.exe의 일시 중단된 인스턴스 내에 숨겨진 채굴기를 탐색해야 한다.

스틸러가 세션 쿠키와 Chrome App-Bound Encryption 키를 탈취하므로, 피해 사용자는 비밀번호 재설정만으로는 충분하지 않으며 계정의 모든 활성 세션을 종료해야 한다.

주요 침해지표(IoC):

SHA-256: adc4aa652965396b52e79435ca54987ae9eb21bf5e67de5e9461b09655165ee4 (REVSTEALER)
SHA-256: 13d7237d7289e67c2d806a65d52580b453ce4987acbe2c4c4d04833f55ebccfa (ProManager)
SHA-256: 7c08cf409194056a8517865e5d3433d1499bb8262263b55b49b8b07d9d182fcb (WinUpdate)
SHA-256: 14b2ac356ed75d10ef40bbaaa48e7dd9fff7de9719c2a43ad123fe843dd4e4e2 (SoftManager)
SHA-256: c66d2b77b9e85c53391891212413ad9a99eb66f4b11c6a431e78884a5b2651e5 (LockAppHost)
Domain: monitor5.roast-core85[.]click (REVSTEALER C2)
Domain: config.hubdisplay[.]lol (ProManager C2)
Domain: health.journal-metric[.]lol (WinUpdate C2)
Domain: metric.gardenpark[.]click (SoftManager C2)