A Microsoft observou um aumento significativo em ataques utilizando o malware ACR Stealer para roubar senhas, tokens de autenticação e documentos confidenciais de clientes empresariais, conforme comunicado publicado na sexta-feira. Entre o final de abril e meados de junho, o ator de ameaças utilizou o método de engenharia social ClickFix, servidores WebDAV e o utilitário MSHTA para entregar o payload.
Cadeias de ataque prevalentes
A Microsoft detalhou duas cadeias de intrusão predominantes. A primeira campanha começa com um chamariz ClickFix que executa um comando para rodar uma DLL maliciosa de um compartilhamento WebDAV remoto usando rundll32.exe. Após estabelecer comunicação com a infraestrutura de comando e controle, um script PowerShell ofuscado é executado para instalar o malware e estabelecer persistência, criando uma tarefa agendada mascarada como atualização de software. Algumas variantes utilizam serviços de blockchain como dead-drop resolvers para obter endereços atualizados de payloads ou C2.
A segunda cadeia de entrega utiliza ClickFix para iniciar o MSHTA, que recupera conteúdo malicioso do servidor do atacante e executa um downloader PowerShell ofuscado. O malware então extrai um payload criptografado escondido dentro de uma imagem JPEG hospedada publicamente com esteganografia e o executa diretamente na memória.
Objetivo do malware
Apesar das diferenças nas cadeias de ataque, o objetivo do ACR Stealer é roubar dados sensíveis, incluindo senhas, cookies, tokens de autenticação armazenados em navegadores, decriptar dados do navegador através do DPAPI, acessar bancos de dados do Chromium, buscar documentos PDF e do Microsoft 365, coletar arquivos das pastas Desktop e Downloads, e direcionar diretórios do OneDrive e SharePoint sincronizados com a empresa.
Recomendações
A Microsoft recomenda que usuários evitem copiar e executar comandos em interpretadores de comando, especialmente quando alegam corrigir erros ou verificar se são humanos. Para organizações, a empresa sugere reduzir a exposição aplicando filtros, bloqueando domínios novos ou de baixa reputação e restringindo o acesso a recursos online. Regras de controle de aplicativos podem restringir a execução de conteúdo remoto usando ferramentas como PowerShell, Python, mshta.exe ou rundll32.exe.
