Des chercheurs en sécurité ont constaté une recrudescence de l'activité liée à ACR Stealer, une famille de logiciels malveillants destinés au vol d'informations et associée à l'écosystème Amatera Stealer. Cette activité a été particulièrement intense de fin avril à mi-juin 2026 et a permis de compromettre avec succès des environnements d'entreprise.

Ces campagnes recourent à une technique d’ingénierie sociale appelée « ClickFix », dans laquelle un site web malveillant, un faux CAPTCHA, une invite logicielle ou un message de dépannage incite l’utilisateur à copier et à exécuter une commande via la boîte de dialogue « Exécuter » de Windows ou une autre interface de commande.

Aucune faille logicielle n’est nécessaire. L’infection commence lorsque l’utilisateur ciblé exécute manuellement la commande fournie par l’attaquant.

Une fois installé, ACR Stealer peut collecter les identifiants et mots de passe enregistrés dans le navigateur, les cookies du navigateur, les jetons de session actifs, les artefacts d’authentification protégés par l’API Windows Data Protection, les documents Microsoft 365, les fichiers PDF, les fichiers stockés dans des dossiers synchronisés avec OneDrive et SharePoint, ainsi que d’autres informations d’entreprise potentiellement sensibles.

Le vol de jetons de session actifs est particulièrement grave, car il peut permettre à un attaquant d’accéder à un compte sans avoir à saisir à nouveau le mot de passe ni à passer par l’authentification multifactorielle. Le simple changement de mot de passe peut donc s’avérer insuffisant à la suite d’une compromission présumée.

Deux chaînes d’intrusion majeures ont été identifiées. La première est une chaîne basée sur WebDAV qui utilise rundll32.exe, du PowerShell obfusqué, des chargeurs Python, la persistance via des tâches planifiées et, dans certains cas, une résolution de commande et de contrôle basée sur la blockchain. La seconde est une chaîne essentiellement sans fichier qui utilise mshta.exe, VBScript, du PowerShell obfusqué, la diffusion de charges utiles stéganographiques via des images JPEG et l’exécution en mémoire.

Les organisations doivent immédiatement rechercher les comportements décrits dans cet avis et renforcer les contrôles concernant les interpréteurs de scripts, les binaires Windows « living-off-the-land », les magasins d’identifiants des navigateurs, WebDAV et les commandes exécutées par les utilisateurs.

Risques pour l’entreprise

Une infection réussie par ACR Stealer peut entraîner la compromission des comptes des employés, des administrateurs et des services. Elle peut également permettre un accès non autorisé à Microsoft 365 et à d’autres services cloud, contourner l’authentification multifactorielle à l’aide de jetons de session volés, et exposer des documents confidentiels et la propriété intellectuelle.

Parmi les autres conséquences possibles, on peut citer la compromission de la messagerie professionnelle, des transactions frauduleuses, l’accès non autorisé aux données, la propagation latérale vers d’autres systèmes, ainsi que des activités ultérieures de rançongiciel, d’extorsion ou d’espionnage. Une infection peut également entraîner des obligations réglementaires, contractuelles et de notification de violation.

Le risque est accru lorsque l’utilisateur concerné dispose d’un accès privilégié, traite des documents sensibles ou a des sessions actives sur des portails d’administration cloud.

Accès initial : ingénierie sociale ClickFix

Les deux campagnes observées commencent par un leurre ClickFix. Les mécanismes de diffusion potentiels comprennent des publicités malveillantes, l’empoisonnement du référencement naturel (SEO), des sites web compromis, de fausses pages de vérification CAPTCHA, de faux messages d’erreur de navigateur ou d’application, des sites web usurpant l’identité de sites d’intelligence artificielle, de productivité ou de téléchargement de logiciels, ainsi que des instructions présentées comme des étapes de dépannage obligatoires.

La page invite l’utilisateur à copier une commande, à ouvrir la boîte de dialogue « Exécuter » de Windows, à coller la commande, puis à appuyer sur Entrée.

Les utilisateurs peuvent croire que cette commande est nécessaire pour vérifier qu’ils sont bien des êtres humains, réparer une application, installer un logiciel légitime, accéder à du contenu ou effectuer un contrôle de sécurité.

Un CAPTCHA légitime ou un processus de vérification de site web ne devrait jamais exiger d’un utilisateur qu’il colle des commandes dans la boîte de dialogue « Exécuter » de Windows, l’invite de commande, PowerShell, le Terminal ou la console de développement d’un navigateur.

Chaîne d’intrusion observée n° 1 : WebDAV et chargeur Python

Exécution initiale

La commande fournie par l’attaquant lance cmd.exe et utilise rundll32.exe pour charger une DLL à partir d’un emplacement WebDAV distant via HTTPS.

Parmi les variantes observées, on note l’exécution directe de rundll32.exe sur une ressource distante et l’utilisation de pushd pour mapper un partage WebDAV distant vers un lecteur temporaire. D’autres variantes utilisent conhost.exe --headless, l’expansion différée des variables d’environnement et l’obfuscation des commandes. Les chemins d’accès distants peuvent contenir des noms de répertoires de type GUID, tandis que les fichiers récupérés peuvent porter des noms trompeurs ou des extensions inhabituelles, telles que google.ct.

L’utilisation de `pushd` peut donner l’impression que du contenu hébergé à distance s’exécute à partir d’un chemin d’accès sur un disque local. L’exécution en mode console sans interface graphique réduit encore davantage les indicateurs visibles pour l’utilisateur.

Étape d’installation de PowerShell

Une fois la DLL distante exécutée, celle-ci récupère et lance une instance de PowerShell fortement obfusquée.

Les techniques d’obfuscation observées comprennent des noms de variables aléatoires, des opérations arithmétiques sans utilité fonctionnelle, des boucles sans issue, de faux flux de contrôle, des chaînes de caractères encodées ou reconstruites dynamiquement, ainsi que des lignes de commande excessivement longues ou fragmentées.

L’étape PowerShell peut télécharger une archive ZIP contenant le logiciel malveillant et extraire son contenu dans le répertoire %LocalAppData%\Temp. Le répertoire extrait peut ressembler à celui d’un logiciel légitime, tel que LogiOptionsPlus. Le logiciel malveillant peut ensuite lancer un script Python via une copie intégrée de pythonw.exe.

Le programme d’installation peut supprimer les versions précédentes du logiciel malveillant, mettre fin aux processus actifs du logiciel malveillant avant de le réinstaller, et créer une tâche planifiée cachée qui ressemble à un programme de mise à jour de logiciel légitime. Il peut également copier des horodatages à partir de notepad.exe ou d’un autre fichier de confiance et effacer l’historique des commandes PowerShell afin de réduire la visibilité lors d’une analyse forensic.

Exécution en mémoire

Le chargeur Python utilise plusieurs couches de codage, de compression, de manipulation de chaînes de caractères et de résolution dynamique d’API. La charge utile finale n’est reconstruite qu’au moment de l’exécution.

Le chargeur peut allouer de la mémoire via VirtualAlloc, copier du shellcode dans une région de mémoire exécutable et transférer l’exécution via l’API Windows Fiber. Les fonctions associées à cette activité incluent ConvertThreadToFiber, CreateFiber et SwitchToFiber. La charge utile peut également être injectée dans un autre processus système ou exécutée à l’intérieur de celui-ci.

Résolution de la chaîne de commande et de contrôle basée sur la blockchain

Certaines infections utilisent des services d’appel de procédure à distance (RPC) sur une blockchain publique ou une infrastructure Web3 tierce comme résolveur de « dead drop ».

Cette technique, parfois appelée « EtherHiding », permet à l’attaquant de stocker ou de mettre à jour l’emplacement d’une charge utile ou l’adresse de commande et de contrôle sur une blockchain publique. Cela peut compliquer la neutralisation de l’infrastructure, car le logiciel malveillant ne repose pas uniquement sur un domaine conventionnel contrôlé par l’attaquant.

Les connexions à la blockchain ou aux services Web3 ne sont pas automatiquement malveillantes. Toutefois, les connexions provenant de pythonw.exe, PowerShell, mshta.exe ou d’un processus enfant inhabituel doivent faire l’objet d’une enquête.

Chaîne d’intrusion observée n° 2 : MSHTA et charge utile stéganographique

Exécution initiale

La commande ClickFix lance mshta.exe et récupère du contenu HTA distant à partir d’une infrastructure contrôlée par l’attaquant.

Le fichier HTA contient du code VBScript qui utilise des objets du Component Object Model (COM) pour décoder et lancer une étape PowerShell codée.

Exécution de PowerShell

Le composant PowerShell peut générer un identifiant spécifique à la victime, désactiver ou contourner la validation des certificats, récupérer du contenu chiffré et exécuter ce contenu directement en mémoire.

Il peut utiliser des variables aléatoires, des boucles sans issue, une fausse logique et des routines de chiffrement personnalisées pour compliquer l’analyse. La chaîne d’exécution est également conçue pour éviter d’écrire des charges utiles reconnaissables sur le disque.

Charge utile dissimulée dans une image

Le logiciel malveillant récupère une image JPEG à partir d’un service public d’hébergement d’images. Les données malveillantes sont encodées dans les pixels de l’image.

Des routines personnalisées extraient les données intégrées, les déchiffrent, les décompressent, identifient les API Windows requises et exécutent la charge utile directement en mémoire.

Les API associées à cette chaîne d’exécution peuvent inclure LoadLibrary, GetProcAddress, VirtualAlloc, CreateThread et WaitForSingleObject.

Un fichier JPEG téléchargé depuis un service d’hébergement d’images public doit être considéré comme suspect lorsqu’il est récupéré par PowerShell, mshta.exe, un moteur de script ou tout autre processus autre qu’un navigateur, et qu’il est immédiatement suivi d’une allocation de mémoire ou d’une exécution de code.

Vol d’identifiants et de documents

Après son exécution, ACR Stealer cible les navigateurs basés sur Chromium, notamment Google Chrome et Microsoft Edge.

Les éléments ciblés peuvent inclure les bases de données « Login Data » et « Web Data », les magasins de cookies du navigateur, les mots de passe enregistrés, les jetons d’authentification, les informations de remplissage automatique, les cookies de session Web actifs, les clés de chiffrement du navigateur et les données protégées par la DPAPI de Windows.

Le logiciel malveillant recherche également des fichiers de grande valeur, notamment des documents PDF, des documents Microsoft Word, des classeurs Microsoft Excel et des présentations Microsoft PowerPoint. Il peut effectuer des recherches dans les répertoires « Bureau » et « Téléchargements », ainsi que parmi les fichiers synchronisés via OneDrive et SharePoint.

Les données collectées peuvent être placées dans une archive avant d’être exfiltrées.

Si l’une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d’aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus importantes auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte ou nous contacterpour savoir comment protéger votre organisation.