Sicherheitsforscher haben eine verstärkte Aktivität im Zusammenhang mit „ACR Stealer“ beobachtet, einer Malware-Familie zum Diebstahl von Informationen, die mit dem „Amatera Stealer“-Ökosystem in Verbindung steht. Diese Aktivität war insbesondere von Ende April bis Mitte Juni 2026 besonders ausgeprägt und hat erfolgreich Unternehmensumgebungen kompromittiert.
Die Kampagnen nutzen ClickFix-Social-Engineering: Dabei werden Nutzer über eine bösartige Website, ein gefälschtes CAPTCHA, eine Software-Eingabeaufforderung oder eine Fehlerbehebungsmeldung dazu veranlasst, einen Befehl zu kopieren und über den Windows-Dialog „Ausführen“ oder eine andere Befehlsschnittstelle auszuführen.
Eine Software-Sicherheitslücke ist dabei nicht erforderlich. Die Infektion beginnt, sobald der betroffene Benutzer den vom Angreifer bereitgestellten Befehl manuell ausführt.
Nach der Installation kann ACR Stealer gespeicherte Benutzernamen und Passwörter aus dem Browser, Browser-Cookies, aktive Sitzungstoken, durch die Windows Data Protection API geschützte Authentifizierungsartefakte, Microsoft 365-Dokumente, PDF-Dateien, in OneDrive- und SharePoint-synchronisierten Ordnern gespeicherte Dateien sowie andere potenziell sensible Unternehmensdaten erfassen.
Der Diebstahl aktiver Sitzungstoken ist besonders schwerwiegend, da er es einem Angreifer ermöglichen kann, auf ein Konto zuzugreifen, ohne das Passwort erneut einzugeben oder die Multi-Faktor-Authentifizierung zu durchlaufen. Eine bloße Passwortänderung reicht daher nach einem vermuteten Kompromittierungsvorfall möglicherweise nicht aus.
Es wurden zwei markante Angriffsketten identifiziert. Die erste ist eine WebDAV-basierte Kette, die rundll32.exe, verschleiertes PowerShell, Python-Loader, Persistenz durch geplante Aufgaben und in einigen Fällen eine Blockchain-basierte Command-and-Control-Auflösung nutzt. Die zweite ist eine überwiegend dateilose Kette, die mshta.exe, VBScript, verschleiertes PowerShell, die Übertragung von Payloads mittels Steganografie über JPEG-Bilder sowie die Ausführung im Arbeitsspeicher nutzt.
Unternehmen sollten unverzüglich nach den in diesem Hinweis beschriebenen Verhaltensweisen suchen und ihre Kontrollen in Bezug auf Skriptinterpreter, Windows-Binärdateien, die vor Ort vorhanden sind („Living-off-the-Land“), im Browser gespeicherte Anmeldedaten, WebDAV sowie vom Benutzer ausgeführte Befehle verstärken.
Eine erfolgreiche Infektion mit dem ACR-Stealer kann zur Kompromittierung von Mitarbeiter-, Administrator- und Dienstkonten führen. Sie kann zudem unbefugten Zugriff auf Microsoft 365 und andere Cloud-Dienste ermöglichen, die Multi-Faktor-Authentifizierung durch gestohlene Sitzungstoken umgehen und vertrauliche Dokumente sowie geistiges Eigentum offenlegen.
Weitere Folgen können die Kompromittierung von Unternehmens-E-Mails, betrügerische Transaktionen, unbefugter Datenzugriff, laterale Bewegung in weitere Systeme sowie nachfolgende Ransomware-, Erpressungs- oder Spionageaktivitäten sein. Eine Infektion kann zudem regulatorische, vertragliche und Meldepflichten im Zusammenhang mit Datenschutzverletzungen nach sich ziehen.
Das Risiko ist erhöht, wenn der betroffene Benutzer über privilegierten Zugriff verfügt, mit sensiblen Dokumenten umgeht oder aktive Sitzungen in Cloud-Verwaltungsportalen unterhält.
Beide beobachteten Kampagnen beginnen mit einem ClickFix-Köder. Mögliche Verbreitungsmechanismen sind bösartige Werbeanzeigen, Suchmaschinemanipulation, kompromittierte Websites, gefälschte CAPTCHA-Verifizierungsseiten, gefälschte Browser- oder Anwendungsfehlermeldungen, als Websites für künstliche Intelligenz, Produktivitäts- oder Software-Downloads getarnte Seiten sowie Anweisungen, die als erforderliche Schritte zur Fehlerbehebung präsentiert werden.
Die Seite fordert den Nutzer auf, einen Befehl zu kopieren, den Windows-Dialog „Ausführen“ zu öffnen, den Befehl einzufügen und die Eingabetaste zu drücken.
Benutzer könnten glauben, der Befehl sei erforderlich, um zu bestätigen, dass sie ein Mensch sind, eine Anwendung zu reparieren, legitime Software zu installieren, auf Inhalte zuzugreifen oder eine Sicherheitsüberprüfung abzuschließen.
Ein legitimer CAPTCHA- oder Website-Verifizierungsprozess sollte von einem Nutzer nicht verlangen, Befehle in den Windows-Ausführungsdialog, die Eingabeaufforderung, PowerShell, das Terminal oder die Entwicklerkonsole eines Browsers einzufügen.
Erste Ausführung
Der vom Angreifer bereitgestellte Befehl startet „cmd.exe“ und nutzt „rundll32.exe“, um eine DLL über HTTPS von einem entfernten WebDAV-Speicherort zu laden.
Zu den beobachteten Varianten gehören die direkte Ausführung von „rundll32.exe“ gegen eine Remote-Ressource und die Verwendung von „pushd“, um eine Remote-WebDAV-Freigabe einem temporären Laufwerk zuzuordnen. Andere Varianten nutzen „conhost.exe --headless“, eine verzögerte Erweiterung von Umgebungsvariablen sowie die Verschleierung von Befehlen. Remote-Pfade können Verzeichnisnamen im GUID-Format enthalten, während abgerufene Dateien irreführende Namen oder ungewöhnliche Dateiendungen wie „google.ct“ verwenden können.
Durch die Verwendung von „pushd“ kann der Anschein erweckt werden, dass remote gehostete Inhalte von einem lokalen Laufwerkspfad aus ausgeführt werden. Die Ausführung in einer headless-Konsole reduziert die für den Benutzer sichtbaren Anzeichen zusätzlich.
PowerShell-Installationsphase
Nachdem die Remote-DLL ausgeführt wurde, ruft sie eine stark verschleierte PowerShell-Instanz ab und startet diese.
Zu den beobachteten Verschleierungstechniken gehören zufällige Variablennamen, arithmetische Operationen ohne funktionalen Zweck, Endlosschleifen, vorgetäuschter Kontrollfluss, verschlüsselte oder dynamisch rekonstruierte Zeichenfolgen sowie übermäßig lange oder fragmentierte Befehlszeilen.
In der PowerShell-Phase wird möglicherweise ein ZIP-Archiv heruntergeladen, das die Malware enthält, und dessen Inhalt unter %LocalAppData%\Temp extrahiert. Das extrahierte Verzeichnis kann legitimer Software ähneln, beispielsweise LogiOptionsPlus. Die Malware startet anschließend möglicherweise ein Python-Skript über eine mitgelieferte Kopie von pythonw.exe.
Das Installationsprogramm entfernt möglicherweise frühere Versionen der Malware, beendet aktive Malware-Prozesse vor der Neuinstallation und erstellt eine versteckte geplante Aufgabe, die einem legitimen Software-Updater ähnelt. Es kopiert möglicherweise auch Zeitstempel aus notepad.exe oder einer anderen vertrauenswürdigen Datei und löscht den PowerShell-Befehlsverlauf, um die forensische Nachverfolgbarkeit zu verringern.
Ausführung im Arbeitsspeicher
Der Python-Loader nutzt mehrere Ebenen der Verschlüsselung, Komprimierung, Zeichenfolgenmanipulation und dynamischen API-Auflösung. Die endgültige Nutzlast wird erst zur Laufzeit rekonstruiert.
Der Loader kann über „VirtualAlloc“ Speicher zuweisen, Shellcode in einen ausführbaren Speicherbereich kopieren und die Ausführung über die Windows-Fiber-API übertragen. Zu den mit dieser Aktivität verbundenen Funktionen gehören „ConvertThreadToFiber“, „CreateFiber“ und „SwitchToFiber“. Die Nutzlast kann zudem in einen anderen Systemprozess injiziert oder innerhalb dieses ausgeführt werden.
Blockchain-basierte Command-and-Control-Auflösung
Bei einigen Infektionen werden öffentliche Blockchain-DPC-Dienste (Remote Procedure Call) oder Web3-Infrastruktur von Drittanbietern als Dead-Drop-Resolver genutzt.
Diese Technik, die manchmal als „EtherHiding“ bezeichnet wird, ermöglicht es dem Angreifer, den Speicherort einer Nutzlast oder eine Command-and-Control-Adresse in einer öffentlichen Blockchain zu speichern oder zu aktualisieren. Dies kann die Störung der Infrastruktur erschweren, da die Malware nicht ausschließlich auf eine herkömmliche, vom Angreifer kontrollierte Domain angewiesen ist.
Verbindungen zu Blockchain- oder Web3-Diensten sind nicht automatisch bösartig. Verbindungen, die von „pythonw.exe“, „PowerShell“, „mshta.exe“ oder einem ungewöhnlichen untergeordneten Prozess ausgehen, sollten jedoch untersucht werden.
Erste Ausführung
Der Befehl „ClickFix“ startet „mshta.exe“ und ruft Remote-HTA-Inhalte von einer vom Angreifer kontrollierten Infrastruktur ab.
Die HTA enthält VBScript, das Component Object Model-Objekte verwendet, um eine verschlüsselte PowerShell-Stufe zu entschlüsseln und zu starten.
PowerShell-Ausführung
Die PowerShell-Komponente kann eine opferspezifische Kennung generieren, die Zertifikatsvalidierung deaktivieren oder umgehen, verschlüsselte Inhalte abrufen und diese direkt im Speicher ausführen.
Sie kann zufällige Variablen, Endlosschleifen, Scheinglogik und benutzerdefinierte Verschlüsselungsroutinen verwenden, um die Analyse zu erschweren. Die Ausführungskette ist zudem so konzipiert, dass das Schreiben erkennbarer Payloads auf die Festplatte vermieden wird.
In einem Bild versteckte Nutzlast
Die Malware ruft ein JPEG-Bild von einem öffentlichen Bildhosting-Dienst ab. Die schädlichen Daten sind in den Bildpixeln verschlüsselt.
Benutzerdefinierte Routinen extrahieren die eingebetteten Daten, entschlüsseln sie, dekomprimieren sie, rufen die erforderlichen Windows-APIs auf und führen die Payload direkt im Arbeitsspeicher aus.
Zu den mit dieser Ausführungskette verbundenen APIs können „LoadLibrary“, „GetProcAddress“, „VirtualAlloc“, „CreateThread“ und „WaitForSingleObject“ gehören.
Ein von einem öffentlichen Bilddienst heruntergeladenes JPEG-Bild sollte als verdächtig eingestuft werden, wenn es von PowerShell, mshta.exe, einer Skript-Engine oder einem anderen Nicht-Browser-Prozess abgerufen wird und unmittelbar darauf ein Verhalten zur Speicherzuweisung oder Codeausführung folgt.
Diebstahl von Anmeldedaten und Dokumenten
Nach der Ausführung zielt ACR Stealer auf Chromium-basierte Browser ab, darunter Google Chrome und Microsoft Edge.
Zu den Zielobjekten können die Datenbanken „Login Data“ und „Web Data“, Browser-Cookie-Speicher, gespeicherte Passwörter, Authentifizierungstoken, Informationen zur automatischen Ausfüllung, Cookies aktiver Websitzungen, Browser-Verschlüsselungsschlüssel sowie durch Windows DPAPI geschützte Daten gehören.
Die Malware sucht zudem nach wertvollen Dateien, darunter PDF-Dokumente, Microsoft Word-Dokumente, Microsoft Excel-Arbeitsmappen und Microsoft PowerPoint-Präsentationen. Dabei werden möglicherweise die Verzeichnisse „Desktop“ und „Downloads“ sowie über OneDrive und SharePoint synchronisierte Dateien durchsucht.
Die gesammelten Daten werden möglicherweise vor der Exfiltration in ein Archiv gespeichert.
Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Festlegung geeigneter Maßnahmen benötigen, um sich vor den größten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sieuns,um zu erfahren, wie Sie Ihr Unternehmen schützen können.