Elastic beschreibt die vier Programme als „Aktivitätsset“ und betont, dass es sich um eigenständige ausführbare Dateien handelt, nicht um Plug-ins, die der Stealer selbst nachlädt. Der Kern-Stealer kann jedoch über die Kommandozeile weitere Programme herunterladen und ausführen.
LockAppHost ist die destruktivste Komponente. Gelingt die Rechteausweitung über CMSTP nicht, weicht es auf eine reguläre Abfrage zur Rechteerhöhung aus. Mit Administratorrechten legt es Defender-Ausnahmen für verbreitete Ordner und Dateitypen an, deaktiviert fünf Windows-Update-Dienste, elf geplante Update-Aufgaben sowie zwei Aufgaben zur Schadsoftware-Entfernung und versteckt anschließend einen Miner in legitimen Windows-Prozessen. Die Schwächung der Systemabwehr bleibt bestehen, auch wenn der Miner gefunden wird.
ProManager richtet sich gegen Nutzer von Desktop-Kryptowallets. Weil die meisten dieser Wallets auf dem Electron-Framework beruhen, liest ProManager die gespeicherte Fensterposition aus und öffnet vom Angreifer geliefertes Material passend platziert und dimensioniert über dem echten Fenster — das Wallet-Programm selbst bleibt unberührt. Ein weiterer Teil des Moduls protokolliert Eingaben in Passwort- und Passphrasenfelder, einschließlich aus der Zwischenablage eingefügter Werte.
Der Stealer selbst sammelt breit: Browser-Passwörter und Cookies, Dateien von mehr als 50 Kryptowallets und einer großen Zahl von Wallet-Browsererweiterungen, Sitzungsdaten aus Telegram und anderen Messengern, VPN- und FTP-Konfigurationen, den Windows-Anmeldeinformationsverwalter, Passwortmanager sowie ausgewählte Dokumente. Bei einigen Spieleplattformen geht er weiter und entschlüsselt das gespeicherte Roblox-Sitzungscookie, was eine Kontoübernahme ohne Passwort erlaubt.
Um an Zugangsdaten zu kommen, die Chrome mit App-Bound Encryption schützt, startet REVSTEALER den Browser in einem Debugger und liest den Entschlüsselungsschlüssel aus dem Speicher. Laut Elastic wurde die Technik wahrscheinlich vom öffentlichen Projekt ElevationKatz übernommen; im März 2026 nutzte sie auch VoidStealer. Gen Digital, das VoidStealer analysierte, bezeichnete diesen als ersten Infostealer, der das Verfahren in freier Wildbahn einsetzte.
Verbreitet wird REVSTEALER vor allem über Lockangebote für Spiele-Cheats. Elastic identifizierte mindestens 17 YouTube-Kanäle — viele davon ihren ursprünglichen Besitzern entwendet —, die mit kurzen KI-generierten Videos für zwei Cheat-Webseiten warben. Zudem tarnt sich die Schadsoftware als raubkopierte oder nachgeahmte Software, darunter eine gefälschte Anwendung „Claude Opus 5 Free Desktop“, die Morphisec am 31. August dokumentierte; sie kopierte das Branding von Anthropic, ohne dass es Hinweise auf eine Kompromittierung des Unternehmens gibt. Elastics Erkennungsregel traf im vergangenen Jahr auf rund 4.700 Samples auf VirusTotal — eine Dateizahl, keine bestätigten Infektionen.
Gegen Analyse ist die Schadsoftware mehrfach abgesichert: Sie bewertet das System anhand von zehn Sandbox-Prüfungen und bricht bei zu hohem Gesamtwert ab, und sie beendet sich auf Systemen mit einer von zehn in Russland und Zentralasien verbreiteten Sprachen. Windows-Funktionen löst sie ohne normale Importtabelle auf und ruft den Kernel über indirekte Systemaufrufe, um Hooks von Sicherheitsprodukten zu umgehen. Ist der Hauptserver nicht erreichbar, liest sie eine Ersatzadresse aus einem Smart Contract auf der Polygon-Blockchain — das als EtherHiding bekannte, gegen Abschaltungen widerstandsfähige Verfahren. Entpackte Builds zeigen zudem ein Fenster, das vor dem Start einen zufälligen sechsstelligen Code verlangt; Elastic vergleicht diese Sperre mit Lumma Stealer und AuraStealer.
Elastic hat YARA- und Verhaltensregeln sowie Indikatoren veröffentlicht. Die öffentliche YARA-Datei deckt den Kern-Stealer und die Module ProManager, SoftManager und WinUpdate ab, enthält aber keine Regel für das Mining-Modul LockAppHost. Weil sich der Stealer selbst löscht, kann eine Infektion abgeschlossen wirken, während die Module weiterlaufen. Wo LockAppHost aktiv war, sollten Reaktionsteams die abgeschalteten Update-Dienste und geplanten Aufgaben wieder aktivieren, die angelegten Defender-Ausnahmen entfernen und nach einem Miner in einer angehaltenen Instanz von nslookup.exe oder svchost.exe suchen. Da Sitzungscookies und der Chrome-App-Bound-Encryption-Schlüssel abfließen, sollten Betroffene Passwörter ändern und aktive Sitzungen beenden. Erstmals hatte Gen Threat Labs REVSTEALER im Juli dokumentiert.