Thought Leadership
Microsoft beobachtet eine Zunahme von Angriffen mit der Schadsoftware ACR Stealer. Die Angreifer nutzen manipulierte Systembefehle für den Datendiebstahl.
Microsoft verzeichnet einen deutlichen Anstieg von Cyberangriffen auf Unternehmenskunden. Dabei kommt die Schadsoftware ACR Stealer zum Einsatz, die als Malware-as-a-Service vertrieben wird und als Weiterentwicklung der Amatera-Schadsoftware gilt. Die Angreifer nutzen die sogenannte ClickFix-Methode, bei der Opfern gefälschte Fehlermeldungen angezeigt werden. Diese Meldungen fordern Benutzer dazu auf, schädliche Befehle zu kopieren und in der Windows-Eingabeaufforderung auszuführen, um angebliche Systemfehler zu beheben. Diese Aktivitäten wurden schwerpunktmäßig zwischen Ende April und Mitte Juni 2026 registriert.
Zwei unterschiedliche Infektionsketten identifiziert
Die Angreifer nutzen primär zwei verschiedene technische Wege zur Einschleusung der Malware. Bei der ersten Methode führt der vom Benutzer ausgeführte Befehl dazu, dass das Windows-Werkzeug rundll32.exe eine schädliche DLL-Datei von einem externen WebDAV-Server lädt. Um im regulären Netzwerkverkehr unauffällig zu bleiben, ahmen die Serverpfade legitime Webadressen nach. Anschließend startet ein verschleiertes PowerShell-Skript einen Installer, der sich als Software-Update tarnt und den Payload direkt im Arbeitsspeicher ausführt. Einige Varianten nutzen zudem öffentliche Blockchains, um die aktuellen Adressen ihrer Steuerungsserver abzurufen.
Der zweite Infektionsweg missbraucht das Hilfsprogramm mshta.exe, um über manipulierte HTML-Applikationen einen PowerShell-Downloader zu starten. Dieser extrahiert die eigentliche Schadsoftware aus einem öffentlich gehosteten, verschlüsselten JPEG-Bild mittels Steganographie. Microsoft wies darauf hin, dass diese Mechanismen nicht das vollständige Arsenal abbilden:
„Diese beiden Kampagnen stellen einige der am häufigsten beobachteten Bereitstellungskampagnen von ACR Stealer dar, die von Defender-Experten festgestellt wurden; sie decken jedoch nicht das gesamte Spektrum der von dieser Malware-Familie genutzten Verbreitungsmethoden ab.“
Microsoft
Fokus auf Browserdaten und Cloud-Speicher
Das primäre Ziel von ACR Stealer ist das systematische Ausspähen sensibler Informationen. Die Schadsoftware ist darauf ausgelegt, folgende Daten zu entwenden:
- Im Webbrowser gespeicherte Passwörter, Cookies und Sitzungsdaten
- Über die Windows-Schnittstelle Data Protection API (DPAPI) entschlüsselte Anmeldedaten
- Datenbanken von Chromium-basierten Browsern wie Google Chrome und Microsoft Edge
- Lokale PDF-Dokumente und Microsoft-365-Dateien auf dem Desktop und im Download-Verzeichnis
- Daten aus unternehmensweit synchronisierten OneDrive- und SharePoint-Verzeichnissen
Sämtliche gesammelten Informationen werden lokal komprimiert und anschließend an die Infrastruktur der Angreifer übertragen.
Empfehlungen zur Schadensminimierung in Unternehmen
Zur Abwehr solcher Angriffe empfiehlt Microsoft, das manuelle Kopieren und Ausführen von externen Anweisungen in administrativen Werkzeugen durch Schulungen zu verhindern. Auf technischer Ebene sollten Webfilter implementiert werden, um den Zugriff auf unbekannte oder neu registrierte Domains zu blockieren. Zudem wird empfohlen, das Ausführen von Skripten und Anwendungen wie PowerShell, Python, mshta.exe oder rundll32.exe aus benutzerbeschreibbaren Verzeichnissen heraus über Anwendungssteuerungsregeln restriktiv zu beschränken.
(red)
