Schadsoftware REVSTEALER deaktiviert Windows Update und Microsoft Defender

Security · 6.9.2026

Neue Module der Schadsoftware REVSTEALER manipulieren Windows-Sicherheitsfunktionen, um unbemerkt Kryptowährungen zu schürfen und dauerhaft im System zu verbleiben.

Sicherheitsforscher von Elastic Security Labs haben vier bisher unbekannte Programme identifiziert, die mit dem Windows-Infostealer "REVSTEALER" in Verbindung stehen. Diese Module verbleiben auf infizierten Systemen, selbst nachdem sich der ursprüngliche Stealer selbst gelöscht hat. Besonders kritisch ist, dass eines der Module gezielt Windows Update sowie den Microsoft Defender deaktiviert, um anschließend ungestört einen Krypto-Miner auszuführen.

Warum ist das wichtig?

Für IT-Verantwortliche und Administratoren in der DACH-Region stellt diese Kampagne ein erhebliches Risiko dar. Da die Schadsoftware aktiv zentrale Schutzmechanismen von Windows aushebelt, bleiben betroffene Systeme für weitere Angriffe offen. Das Blockieren von Windows Update verhindert zudem das zeitnahe Einspielen kritischer Sicherheits-Patches, wodurch die IT-Infrastruktur von Unternehmen langfristig verwundbar wird. Zudem führt das im Hintergrund laufende Krypto-Mining zu einer massiven Auslastung der Systemressourcen, was die Performance beeinträchtigt und die Betriebskosten erhöht.

Was Nutzer jetzt tun sollten

Um sich vor dieser Bedrohung zu schützen, sollten Administratoren und versierte Anwender folgende Maßnahmen ergreifen:

• Integrität der Sicherheitsdienste prüfen: Stellen Sie sicher, dass Windows Update und Microsoft Defender aktiv sind und nicht über Registry-Einträge oder Gruppenrichtlinien unautorisiert deaktiviert wurden.
• Endpoint-Detection-and-Response (EDR) einsetzen: Nutzen Sie fortschrittliche EDR-Lösungen, die Verhaltensanalysen durchführen, da traditionelle signaturbasierte Antivirenprogramme manipuliert worden sein könnten.
• Systemauslastung überwachen: Achten Sie auf ungewöhnliche CPU- oder GPU-Spitzen auf Servern und Clients, die auf verdecktes Krypto-Mining hindeuten können.
• Netzwerkverkehr analysieren: Überprüfen Sie ausgehende Verbindungen auf bekannte Mining-Pools oder verdächtige Command-and-Control-Server (C2).

Fazit

Die Entdeckung der neuen REVSTEALER-Komponenten zeigt, dass moderne Schadsoftware immer raffinierter vorgeht, um Persistenz auf Windows-Systemen zu erlangen. Nur durch eine lückenlose Überwachung der Systemintegrität und eine restriktive Rechtevergabe lässt sich die Deaktivierung systemkritischer Schutzfunktionen wirksam verhindern.

Quelle: The Hacker News