Datendiebstahl als Service:
Microsoft warnt vor ACR Stealer-Kampagnen

Microsoft warnt vor einer verstärkten Angriffswelle mit der Schadsoftware ACR Stealer. Demnach versuchen Angreifer derzeit vermehrt, in Webbrowsern gespeicherte Passwörter, Authentifizierungs-Token sowie vertrauliche Dokumente zu stehlen.

Zwei Varianten der selben Malware

Die beobachteten Kampagnen liefen zwischen Ende April und Mitte Juni und setzten auf ausgeklügelte Methoden, um Sicherheitsmechanismen zu umgehen, teilte Microsoft mit. Im Mittelpunkt der Angriffe steht eine Social-Engineering-Technik namens ClickFix. Dabei werden Nutzer dazu verleitet, vermeintliche Problemlösungen oder Sicherheitsüberprüfungen selbst auszuführen.

In den von Microsoft analysierten Fällen wurden anschließend Schadprogramme über WebDAV-Server oder das Windows-Werkzeug MSHTA nachgeladen. ACR Stealer gilt als sogenannter Malware-as-a-Service-Dienst und soll eine Weiterentwicklung beziehungsweise Umbenennung der bereits bekannten Schadsoftware Amatera Stealer sein.


Microsoft beschreibt zwei besonders häufig beobachtete Angriffsabläufe. Im ersten Szenario führt ein Klick auf den präparierten Inhalt dazu, dass eine schädliche Programmbibliothek von einem entfernten WebDAV-Server geladen wird. Um den Netzwerkverkehr unauffällig erscheinen zu lassen, verwenden die Täter Verzeichnis- und Dateinamen, die legitime Ressourcen imitieren. Nach der Verbindung mit der Steuerungsinfrastruktur installiert die Malware weitere Komponenten, richtet einen als Software-Update getarnten geplanten Task ein und verschleiert ihre Spuren unter anderem durch das Löschen der PowerShell-Historie. Der eigentliche Schadcode wird anschließend direkt im Arbeitsspeicher ausgeführt.

In einer zweiten Angriffskette missbrauchen die Täter MSHTA, um schädliche Inhalte von einem Server abzurufen. Der verschlüsselte Schadcode wird dabei in einem öffentlich zugänglichen JPEG-Bild mittels Steganografie versteckt. Einige Varianten greifen zudem auf öffentliche Blockchain-Dienste zurück, um aktualisierte Adressen ihrer Kommando- und Kontrollserver zu beziehen, eine Technik, die unter dem Namen EtherHiding bekannt ist.

Datenausleitung in großem Stil

Ziel der Angriffe ist vor allem der Diebstahl sensibler Unternehmensdaten. Dazu gehören gespeicherte Passwörter, Cookies, Sitzungsdaten und Authentifizierungs-Token aus Browsern wie Chrome oder Edge. Darüber hinaus durchsucht die Malware PDF-Dateien, Microsoft-365-Dokumente sowie Inhalte auf dem Desktop, im Download-Ordner und in synchronisierten OneDrive- oder SharePoint-Verzeichnissen. Die gesammelten Daten werden archiviert und anschließend an die Angreifer übertragen.

Microsoft betont, dass die beiden beschriebenen Angriffsmethoden nur einen Teil der tatsächlich eingesetzten Techniken darstellen dürften. Unternehmen empfiehlt der Konzern unter anderem, unbekannte oder wenig vertrauenswürdige Internetquellen konsequent zu blockieren, die Ausführung von Skripten und Programmen aus externen Quellen einzuschränken sowie Mitarbeitende dafür zu sensibilisieren, keine Befehle aus unbekannten Anleitungen in die Windows-Kommandozeile oder PowerShell zu kopieren und auszuführen.


Siehe auch: