https://cyberveille.ch/tags/promanager/ Recent content in ProManager on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 10 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-10-revstealer-analyse-d-un-infostealer-emergent-avec-dead-drop-polygon-et-modules-c2/ Thu, 10 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-10-revstealer-analyse-d-un-infostealer-emergent-avec-dead-drop-polygon-et-modules-c2/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 2 septembre 2026 par Elastic Security Labs (auteurs : Daniel Stepanic, Salim Bitam, Jia Yu Chan), cet article présente une analyse technique détaillée de <strong>REVSTEALER</strong>, un infostealer émergent suivi sous la référence interne <strong>REF2859</strong>. Gen Threat Labs avait déjà couvert ce malware plus tôt dans l&rsquo;été 2026.</p> <h2 id="-distribution-et-vecteur-dattaque">📦 Distribution et vecteur d&rsquo;attaque</h2> <p>REVSTEALER est distribué principalement via <strong>ingénierie sociale ciblant les joueurs</strong>, notamment :</p> <ul> <li><strong>17 chaînes YouTube compromises</strong> promouvant de faux cheats et mod menus via des vidéos générées par IA</li> <li>Domaines malveillants associés : <code>elitecheatsx[.]live</code> et <code>resight-cheats[.]net</code></li> <li>Usurpation de logiciels légitimes (Slack, qBittorrent, Steel Series GG, Blender) pour des campagnes multi-thèmes</li> <li><strong>~4 700 échantillons</strong> identifiés sur VirusTotal via Retrohunt YARA sur un an</li> <li>Majorité des samples packés avec <strong>VMProtect</strong></li> </ul> <h2 id="-fonctionnalités-principales">⚙️ Fonctionnalités principales</h2> <h3 id="anti-analyse">Anti-analyse</h3> <ul> <li><strong>Système de scoring sandbox</strong> (10 vérifications pondérées) : si score ≥ 7, auto-terminaison</li> <li>Vérifications : nombre de cœurs CPU, RAM, GPU/PCI vendor, uptime, CPUID, virtualisation, Media Foundation, liste de processus/usernames bloqués, timing checks</li> <li><strong>Exclusion CIS</strong> : vérification de la langue système et du layout clavier via hash FNV-1a ; terminaison si locale CIS détectée</li> <li>Syscalls indirects, API hashing, chiffrement de chaînes, contournement des hooks user-mode, gestion d&rsquo;exceptions personnalisée</li> <li><strong>Watermarking de payload</strong> : jeton de 16 octets en fin de fichier, fenêtre de vérification à 6 caractères (similaire à LummaStealer/AuraStealer)</li> </ul> <h3 id="collecte-de-credentials">Collecte de credentials</h3> <ul> <li><strong>225 identifiants d&rsquo;extensions Chromium</strong> (wallets crypto, gestionnaires de mots de passe)</li> <li><strong>51 applications wallet standalone</strong></li> <li>Clients de messagerie, VPN, FTP, OBS Studio, Windows Sticky Notes, applications 2FA</li> <li><strong>Bypass App-Bound Encryption (ABE)</strong> : lancement du navigateur sous contrôle débogueur, hardware breakpoint pour lire la clé déchiffrée en mémoire (inspiré de ElevationKatz/ChromeKatz)</li> <li>Collecte de documents, fichiers de configuration, données clipboard, screenshot, liste de processus, applications installées</li> </ul> <h3 id="plateformes-gaming-ciblées">Plateformes gaming ciblées</h3> <ul> <li>Battle.net, EA Desktop, Steam, Roblox (via <code>CryptUnprotectData</code>), Minecraft (multiples launchers)</li> </ul> <h3 id="dead-drop-polygon-etherhiding">Dead drop Polygon (EtherHiding)</h3> <ul> <li>Chaque build contient une <strong>adresse C2 primaire</strong> et une <strong>adresse de smart contract Polygon</strong></li> <li>En cas d&rsquo;indisponibilité du C2 primaire : interrogation de jusqu&rsquo;à 5 endpoints JSONRPC Polygon publics, déchiffrement AES d&rsquo;un C2 de fallback</li> </ul> <h2 id="-quatre-modules-c2-additionnels">🧩 Quatre modules C2 additionnels</h2> <table> <thead> <tr> <th>Module</th> <th>Capacité</th> </tr> </thead> <tbody> <tr> <td><strong>ProManager</strong></td> <td>Vol de wallets/extensions, overlays de phishing, capture d&rsquo;input, livraison de payload</td> </tr> <tr> <td><strong>WinUpdate</strong></td> <td>Remplacement d&rsquo;adresses crypto dans le clipboard, vol de mnémoniques</td> </tr> <tr> <td><strong>SoftManager</strong></td> <td>Proxy SOCKS5 inversé, accès backconnect via WebSocket chiffré</td> </tr> <tr> <td><strong>LockAppHost</strong></td> <td>Déploiement XMRig, suspension de concurrents, persistance</td> </tr> </tbody> </table> <p>Tous les modules partagent : configuration obfusquée, protection VMProtect, dead drops Polygon.</p>