Microsoft ha identificado un aumento significativo en los ataques que utilizan el malware ACR Stealer para robar contraseñas almacenadas en navegadores, tokens de autenticación y documentos sensibles de sus clientes empresariales. Entre finales de abril y mediados de junio, los atacantes emplearon métodos de ingeniería social como ClickFix, servidores WebDAV y la utilidad MSHTA para distribuir el malware.
Por qué importa: Estos ataques comprometen datos críticos de empresas, afectando la seguridad de credenciales y documentos almacenados en sistemas corporativos.
Lo esencial
- ACR Stealer es un malware como servicio (MaaS), posiblemente una reencarnación del Amatera Stealer.
- Los atacantes usan cadenas de intrusión basadas en ClickFix, WebDAV y MSHTA para ejecutar el malware.
- El malware roba datos de navegadores, documentos de Microsoft 365 y archivos sincronizados en OneDrive y SharePoint.
Campañas principales de distribución del ACR Stealer
Microsoft destaca dos cadenas de ataque predominantes. La primera inicia con un señuelo ClickFix que ejecuta una DLL maliciosa desde un recurso remoto WebDAV usando rundll32.exe. Los atacantes emplean estructuras de directorios y nombres de archivo que imitan recursos legítimos para camuflar la actividad maliciosa dentro del tráfico de red esperado.
Tras establecer comunicación con la infraestructura de comando y control (C2), se ejecuta un script PowerShell altamente ofuscado que instala el malware, crea tareas programadas disfrazadas y manipula el sistema para mantener la persistencia y ejecutar el payload en memoria.
Uso de MSHTA y técnicas avanzadas de ocultación
La segunda cadena utiliza ClickFix para lanzar MSHTA, que descarga contenido malicioso y ejecuta un downloader PowerShell ofuscado. El payload cifrado está oculto dentro de una imagen JPEG con esteganografía alojada públicamente, lo que permite su ejecución directa en memoria sin dejar rastros evidentes en disco.
