ACR Stealer, инфостийлър (софтуер за кражба на информация), който е в обращение от 2024 г., извлича от корпоративни мрежи запазени пароли от браузъри, токени за активни сесии, PDF файлове, документи на Microsoft 365 и файлове от синхронизирани папки на OneDrive и SharePoint.
Зловредният софтуер прониква в системите, тъй като потребител поставя команда в полето Run (Изпълнение) на Windows и натиска Enter. В четвъртък Microsoft разкри две от веригите за доставка. Техният екип Defender Experts наблюдава нарастване на активността на ACR Stealer в клиентски среди от края на април до средата на юни и съобщава, че кампаниите „успешно използват примамки ClickFix за кражба на идентификационни данни от браузъри, токени за удостоверяване и чувствителни документи“.
И двете вериги започват с една и съща подкана, след което се разделят: едната оставя следи върху диска, докато другата работи почти изцяло в оперативната памет. Препоръките на Microsoft за отстраняване на последиците съветват жертвите да анулират токените си, а не просто да сменят паролите си.
Подканата вероятно достига до потребителите чрез злонамерена реклама (malvertising) или манипулирани резултати от търсенето (SEO спам), се посочва в доклада. Безфайловата верига стартира, когато поставената команда стартира mshta.exe за извличане на отдалечено HTA съдържание. Вграден VBScript зареждач (loader) използва COM обекти за декодиране и задействане на PowerShell; този етап генерира идентификатор на жертвата, деактивира проверката на сертификати и изпълнява извлеченото директно в паметта.
Това, което извлича, е JPEG изображение от хостинг платформа, в чиито пиксели е скрит зловредният код. Специализирани рутини го извличат, декриптират, декомпресират и го изпълняват директно в паметта (reflective execution). След това атакува Chrome и Edge, като чете базите данни Login Data и Web Data и извиква Windows DPAPI за декриптиране на паролите, бисквитките и токените, които се съдържат в тях. PDF файловете на работния плот (Desktop) и в папка Downloads (Изтегляния) също биват откраднати.
На 26 май Брад Дънкан от SANS Internet Storm Center документира заразяване на Windows, което проследява до страница, имитираща Claude – AI асистента на Anthropic. До нея се стига чрез злонамерени реклами в Google, често скрити зад URL адреси на sites.google.com. Страницата показва инструкции за macOS, когато се отвори на Mac, и инструкции за Windows при отваряне на Windows система.
Microsoft не назовава конкретно примамката. Два от индикаторите в таблицата за Кампания 2, creativecommunityinfo[.]art и enhanceblabber[.]cc, са посочени като хост за зловредния код и C2 (сървър за управление и контрол). Медията The Hacker News свързва и двата адреса с веригата на Дънкан, която е преминала през техни поддомейни седем седмици по-рано, а докладът на Microsoft цитира неговия дневник сред референциите.
Тази верига също така извлича 628 KB JPEG файл от ImgBB, услуга за хостване на изображения. Дънкан го маркира като част от инфекцията, но не успява да извлече нищо от него: „нито успях да открия очевидни признаци на вградени данни“.Red Canary регистрира примамки с логото на Claude месец по-рано, доставящи ACR Stealer чрез фалшиви страници на Claude Code в GitLab, като например claude-desktop[.]gitlab[.]io.
Другата верига оставя следи на диска
Първата верига, описана от Microsoft, записва данни на диска, което улеснява защитниците. Поставената команда изтегля DLL файл директно от WebDAV споделен ресурс по HTTPS, използвайки директория с GUID и име на файл, създадено да изглежда легитимно – примерът в доклада е google.ct.Red Canary публикува същия модел в своя доклад от май въз основа на телеметрия от април, седмици преди анализа на Microsoft. Две от трите разновидности, наблюдавани от Defender Experts, използват командата pushd за първоначално монтиране на отдалечения споделен ресурс като временен локален диск, така че зловредният код да се изпълнява през път, който изглежда локален.
Следва замаскиран (obfuscated) PowerShell. Той спуска ZIP архив в папка под %LocalAppData%\Temp с безобидно име (примерът на Microsoft е LogiOptionsPlus). Включеният файл pythonw.exe след това стартира Python скрипта, така че нищо не премигва на екрана. Инсталаторът изтрива по-старите копия преди инсталацията, действайки като актуализация.
Той си осигурява постоянство (persistence) чрез скрита планирана задача (scheduled task), представяща се за софтуерно обновяване, копира времевите клейма от notepad.exe върху собствените си файлове и изтрива хронологията на PowerShell. Последният етап остава в паметта, прехвърляйки изпълнението чрез Windows Fiber API.
При част от тези прониквания втори Python зареждач комуникира с публични RPC крайни точки на блокчейни и Web3 инфраструктура, вероятно за да извлече злонамерен код или C2 адрес от публичен регистър. Microsoft нарича тази техника EtherHiding: показалецът се поставя в смарт договор и няма контролиран от атакуващия DNS сървър, който да бъде конфискуван.
Нито една от веригите не експлоатира софтуерна уязвимост. И двете наследяват точно тези права, които вписаният потребител вече притежава. Всеки слой надолу по веригата – монтирането на WebDAV, извличането от пиксели, прехвърлянето в паметта – се изпълнява единствено защото потребител е прочел подкана и е натиснал Enter. В тази история няма CVE идентификатор. Инсталирането на корекции за сигурност не премахва този вектор на атака, разчитащ на действие от потребителя.