ACR-Stealer-Angriffe auf Unternehmenskunden nehmen stark zu

Microsoft hat einen starken Anstieg von ACR-Stealer-Angriffen auf Unternehmenskunden festgestellt.

Die Schadsoftware stiehlt Passwörter, Authentifizierungs-Token, Browsersitzungen und sensible Dokumente. Angreifer verbreiten sie über gefälschte Verifizierungsaufforderungen, entfernte WebDAV-Server und legitime Windows-Tools.

Forscher beobachteten die jüngste Aktivität zwischen Ende April und Mitte Juni. Obwohl zwei Verbreitungsmethoden am häufigsten auftraten, könnten weitere Angriffsketten existieren.

ACR Stealer zielt auf sensible Unternehmensdaten ab

ACR Stealer wird als Malware-as-a-Service angeboten. Dieses Modell ermöglicht Cyberkriminellen, für den Zugriff auf die Schadsoftware zu zahlen und sie in eigenen Kampagnen einzusetzen.

Forscher gehen davon aus, dass ACR Stealer eine umbenannte Version von Amatera Stealer ist. Das Hauptziel besteht darin, wertvolle Informationen von infizierten Windows-Geräten zu sammeln.

Die Schadsoftware zielt auf Passwörter, Cookies, Sitzungsdaten und Authentifizierungs-Token ab, die in Webbrowsern gespeichert sind. Darüber hinaus kann sie geschützte Browserdaten über die Windows Data Protection API entschlüsseln.

Die Angreifer konzentrieren sich besonders auf Chromium-basierte Browser, darunter Google Chrome und Microsoft Edge.

Browserdaten sind jedoch nicht das einzige Ziel. Die Schadsoftware sucht auch nach PDF-Dateien und Microsoft-365-Dokumenten. Außerdem sammelt sie Dateien aus den Ordnern Desktop und Downloads.

Mit Unternehmen synchronisierte OneDrive- und SharePoint-Verzeichnisse können ebenfalls wertvolle Unternehmensinformationen offenlegen.

ClickFix-Köder starten die Infektion

Viele ACR-Stealer-Angriffe beginnen mit der Social-Engineering-Technik ClickFix.

Eine betrügerische Website zeigt eine gefälschte Fehler- oder Verifizierungsmeldung an. Anschließend fordert sie das Opfer auf, einen Befehl zu kopieren und auszuführen, um das angebliche Problem zu beheben.

Der Befehl startet jedoch tatsächlich den Malware-Infektionsprozess.

Da das Opfer die Aktion manuell ausführt, können Angreifer vertrauenswürdige Windows-Tools missbrauchen. Diese Methode kann die Aktivität außerdem für Sicherheitssysteme legitim erscheinen lassen.

Nutzer sollten daher keine Befehle ausführen, die von unbekannten Websites bereitgestellt werden. Das gilt besonders, wenn eine Seite behauptet, die Aktion behebe einen Fehler oder bestätige, dass der Besucher ein Mensch ist.

Erste Angriffskette nutzt WebDAV-Server

In der ersten verbreiteten Infektionskette startet ein ClickFix-Köder eine schädliche DLL-Datei von einer entfernten WebDAV-Freigabe. Die Angreifer nutzen das legitime Windows-Tool rundll32.exe, um die Datei auszuführen.

Die WebDAV-Pfade verwenden Verzeichnisstrukturen und Dateinamen, die echten Online-Ressourcen ähneln sollen. Dadurch kann sich der schädliche Datenverkehr in die normale Netzwerkaktivität einfügen.

Sobald das System eine Verbindung zur Command-and-Control-Infrastruktur der Angreifer herstellt, führt es ein stark verschleiertes PowerShell-Skript aus.

Das Skript installiert einen eingebetteten Python-Loader und erstellt eine geplante Aufgabe. Die Angreifer tarnen diese Aufgabe als normale Softwareaktualisierung, um den Zugriff nach einem Neustart des Computers aufrechtzuerhalten.

Die Schadsoftware verändert außerdem Dateizeitstempel und löscht den PowerShell-Verlauf. Diese Schritte erschweren die Untersuchung der Infektion.

Schließlich injiziert der Loader ACR Stealer in einen legitimen Systemprozess. Anschließend läuft die Schadsoftware direkt im Speicher.

Blockchain-Dienste verbergen aktualisierte Adressen

Einige Versionen von ACR Stealer nutzen öffentliche Blockchain-Dienste, um neue Payloads oder Command-and-Control-Server zu finden.

Diese Technik wird manchmal EtherHiding genannt. Die Angreifer speichern Anweisungen oder Adressen über Blockchain-basierte Dienste, statt sie direkt in der Schadsoftware zu hinterlegen.

Dadurch können sie ihre Infrastruktur aktualisieren, ohne die ursprünglichen schädlichen Dateien zu verändern. Die Blockierung der Operation kann außerdem schwieriger werden, da Verteidiger möglicherweise zögern, legitime Blockchain-Dienste einzuschränken.

Zweite Kette versteckt Schadsoftware in Bildern

Die zweite wichtige Verbreitungsmethode beginnt ebenfalls mit einer ClickFix-Aufforderung.

Diese Variante nutzt jedoch Microsoft HTML Application Host, bekannt als MSHTA, um schädliche Inhalte von einem vom Angreifer kontrollierten Server abzurufen.

Der Angriff startet anschließend ein verschleiertes PowerShell-Downloadprogramm. Danach extrahiert die Schadsoftware eine verschlüsselte Payload, die in einem öffentlich gehosteten JPEG-Bild versteckt ist.

Diese Technik wird Steganografie genannt. Sie ermöglicht Angreifern, schädliche Daten in einem gewöhnlich aussehenden Bild zu verbergen.

Das System entschlüsselt die versteckte Payload und führt sie direkt im Speicher aus. Dadurch kann die Schadsoftware weniger auffällige Dateien auf dem Gerät hinterlassen.

Gestohlene Informationen werden für die Exfiltration vorbereitet

Trotz ihrer technischen Unterschiede verfolgen beide ACR-Stealer-Angriffsketten dasselbe Ziel.

Die Schadsoftware durchsucht das infizierte Gerät nach nützlichen Informationen und sammelt die Ergebnisse. Anschließend legt sie die gestohlenen Daten in einem Archiv ab, bevor sie sie an die Angreifer sendet.

Gestohlene Browser-Token und Sitzungs-Cookies stellen ein ernstes Risiko dar. Kriminelle können sie nutzen, um ohne das Passwort des Opfers auf Unternehmenskonten zuzugreifen.

Synchronisierte Cloud-Ordner können unterdessen Verträge, Finanzinformationen, interne Berichte, Kundendaten oder andere vertrauliche Dokumente enthalten.

Unternehmen können das Risiko senken

Unternehmen können die Angriffsfläche verringern, indem sie neu registrierte Domains und Domains mit geringem Vertrauen blockieren. Sie sollten außerdem den Zugriff auf Online-Ressourcen beschränken, die Beschäftigte nicht für ihre Arbeit benötigen.

Zusätzlich können Regeln zur Anwendungskontrolle verhindern, dass vertrauenswürdige Tools Remote-Inhalte starten. Unternehmen sollten PowerShell, Python, MSHTA und rundll32.exe genau überwachen, insbesondere wenn diese Dateien aus Pfaden ausführen, in denen Nutzer Schreibrechte besitzen.

Sicherheitsteams sollten außerdem ungewöhnliche geplante Aufgaben, gelöschte Befehlsverläufe, verdächtige WebDAV-Verbindungen und unerwartete Zugriffe auf Browserdatenbanken untersuchen.

Am wichtigsten ist, dass Mitarbeiter ClickFix-Aufforderungen erkennen. Seriöse Websites sollten Besucher nicht dazu auffordern, Befehle in PowerShell, die Eingabeaufforderung oder andere Systemtools zu kopieren.