I ricercatori nel campo della sicurezza hanno osservato un aumento dell’attività legata ad ACR Stealer, una famiglia di malware per il furto di informazioni associata all’ecosistema Amatera Stealer. Tale attività è stata particolarmente diffusa da fine aprile a metà giugno 2026 e ha compromesso con successo diversi ambienti aziendali.
Le campagne utilizzano tecniche di ingegneria sociale denominate «ClickFix», in cui un sito web dannoso, un CAPTCHA fasullo, una richiesta del software o un messaggio di risoluzione dei problemi istruiscono l’utente a copiare ed eseguire un comando tramite la finestra di dialogo «Esegui» di Windows o un’altra interfaccia di comando.
Non è necessaria alcuna vulnerabilità del software. L’infezione ha inizio quando l’utente preso di mira esegue manualmente il comando fornito dall’autore dell’attacco.
Una volta installato, ACR Stealer è in grado di raccogliere nomi utente e password salvati nel browser, cookie del browser, token di sessione attivi, dati di autenticazione protetti dall’API di protezione dei dati di Windows, documenti Microsoft 365, file PDF, file archiviati in cartelle sincronizzate con OneDrive e SharePoint, nonché altre informazioni aziendali potenzialmente sensibili.
Il furto dei token di sessione attivi è particolarmente grave poiché può consentire a un aggressore di accedere a un account senza reinserire la password o completare l’autenticazione a più fattori. La sola modifica della password potrebbe quindi rivelarsi insufficiente a seguito di una sospetta compromissione.
Sono state identificate due principali catene di intrusione. La prima è una catena basata su WebDAV che utilizza rundll32.exe, PowerShell offuscato, caricatori Python, persistenza tramite attività pianificate e, in alcuni casi, risoluzione del comando e controllo basata su blockchain. La seconda è una catena prevalentemente fileless che utilizza mshta.exe, VBScript, PowerShell offuscato, la distribuzione di payload steganografici tramite immagini JPEG e l’esecuzione in memoria.
Le organizzazioni dovrebbero individuare immediatamente i comportamenti descritti in questa avvertenza e rafforzare i controlli relativi agli interpreti di script, ai binari Windows “living-off-the-land”, agli archivi di credenziali dei browser, a WebDAV e ai comandi eseguiti dagli utenti.
Un’infezione riuscita da ACR Stealer può comportare la compromissione degli account dei dipendenti, degli amministratori e dei servizi. Può inoltre consentire l’accesso non autorizzato a Microsoft 365 e ad altri servizi cloud, aggirare l’autenticazione a più fattori tramite token di sessione rubati ed esporre documenti riservati e proprietà intellettuale.
Ulteriori conseguenze possono includere la compromissione della posta elettronica aziendale, transazioni fraudolente, accesso non autorizzato ai dati, movimento laterale verso altri sistemi e successive attività di ransomware, estorsione o spionaggio. Un’infezione può inoltre comportare obblighi normativi, contrattuali e di notifica delle violazioni.
Il rischio è elevato quando l’utente colpito dispone di accesso privilegiato, gestisce documenti sensibili o ha sessioni attive sui portali di amministrazione cloud.
Entrambe le campagne osservate iniziano con un’esca ClickFix. I potenziali meccanismi di diffusione includono pubblicità dannose, avvelenamento dei risultati di ottimizzazione per i motori di ricerca (SEO), siti web compromessi, pagine di verifica CAPTCHA false, falsi messaggi di errore del browser o delle applicazioni, siti web che si spacciano per piattaforme di intelligenza artificiale, di produttività o di download di software, e istruzioni presentate come passaggi obbligatori per la risoluzione dei problemi.
La pagina invita l’utente a copiare un comando, aprire la finestra di dialogo “Esegui” di Windows, incollare il comando e premere Invio.
Gli utenti potrebbero credere che il comando sia necessario per verificare che siano umani, riparare un’applicazione, installare software legittimo, accedere a contenuti o completare un controllo di sicurezza.
Un CAPTCHA legittimo o un processo di verifica di un sito web non dovrebbe richiedere all’utente di incollare comandi nella finestra “Esegui” di Windows, nel Prompt dei comandi, in PowerShell, nel Terminale o nella console di sviluppo di un browser.
Esecuzione iniziale
Il comando fornito dall’autore dell’attacco avvia cmd.exe e utilizza rundll32.exe per caricare una DLL da una posizione WebDAV remota tramite HTTPS.
Le varianti osservate includono l’esecuzione diretta di rundll32.exe su una risorsa remota e l’uso di pushd per mappare una condivisione WebDAV remota su un’unità temporanea. Altre varianti utilizzano conhost.exe --headless, l’espansione ritardata delle variabili d’ambiente e l’offuscamento dei comandi. I percorsi remoti possono contenere nomi di directory in formato GUID, mentre i file recuperati possono utilizzare nomi fuorvianti o estensioni insolite, come google.ct.
L’uso di `pushd` può far sembrare che i contenuti ospitati in remoto vengano eseguiti da un percorso su un’unità locale. L’esecuzione in console senza interfaccia grafica riduce ulteriormente gli indicatori visibili per l’utente.
Fase di installazione di PowerShell
Dopo l’esecuzione della DLL remota, questa recupera e avvia una versione di PowerShell fortemente offuscata.
Le tecniche di offuscamento osservate includono nomi di variabili casuali, operazioni aritmetiche prive di scopo funzionale, loop infiniti, flussi di controllo fittizi, stringhe codificate o ricostruite dinamicamente e righe di comando eccessivamente lunghe o frammentate.
La fase PowerShell può scaricare un archivio ZIP contenente il malware ed estrarne il contenuto nella directory %LocalAppData%\Temp. La directory estratta può assomigliare a quella di un software legittimo, come LogiOptionsPlus. Il malware può quindi avviare uno script Python tramite una copia integrata di pythonw.exe.
Il programma di installazione potrebbe rimuovere le versioni precedenti del malware, terminare i processi attivi del malware prima della reinstallazione e creare un’attività pianificata nascosta che assomiglia a un programma di aggiornamento software legittimo. Potrebbe inoltre copiare i timestamp da notepad.exe o da un altro file attendibile e cancellare la cronologia dei comandi di PowerShell per ridurre la visibilità forense.
Esecuzione in memoria
Il caricatore Python utilizza più livelli di codifica, compressione, manipolazione delle stringhe e risoluzione dinamica delle API. Il payload finale viene ricostruito solo in fase di esecuzione.
Il loader può allocare memoria tramite VirtualAlloc, copiare lo shellcode in una regione di memoria eseguibile e trasferire l’esecuzione tramite l’API Windows Fiber. Le funzioni associate a questa attività includono ConvertThreadToFiber, CreateFiber e SwitchToFiber. Il payload può anche essere iniettato o eseguito all’interno di un altro processo di sistema.
Risoluzione del comando e controllo basata su blockchain
Alcune infezioni utilizzano servizi di chiamata di procedura remota su blockchain pubbliche o infrastrutture Web3 di terze parti come risolutori dead-drop.
Questa tecnica, talvolta denominata EtherHiding, consente all’autore dell’attacco di memorizzare o aggiornare la posizione di un payload o l’indirizzo di comando e controllo su una blockchain pubblica. Ciò può rendere più difficile l’interruzione dell’infrastruttura poiché il malware non si affida esclusivamente a un dominio convenzionale controllato dall’autore dell’attacco.
Le connessioni alla blockchain o ai servizi Web3 non sono automaticamente dannose. Tuttavia, le connessioni provenienti da pythonw.exe, PowerShell, mshta.exe o da un processo figlio insolito dovrebbero essere oggetto di indagine.
Esecuzione iniziale
Il comando ClickFix avvia mshta.exe e recupera contenuti HTA remoti dall’infrastruttura controllata dall’autore dell’attacco.
L’HTA contiene un VBScript che utilizza oggetti del Component Object Model per decodificare e avviare una fase PowerShell codificata.
Esecuzione di PowerShell
Il componente PowerShell può generare un identificatore specifico per la vittima, disabilitare o aggirare la convalida dei certificati, recuperare contenuti crittografati ed eseguire i contenuti recuperati direttamente in memoria.
Può utilizzare variabili casuali, cicli infiniti, logica fittizia e routine di crittografia personalizzate per complicare l’analisi. La catena di esecuzione è inoltre progettata per evitare di scrivere payload riconoscibili su disco.
Payload nascosto in un'immagine
Il malware recupera un'immagine JPEG da un servizio pubblico di hosting di immagini. I dati dannosi sono codificati all'interno dei pixel dell'immagine.
Routine personalizzate estraggono i dati incorporati, li decrittografano, li decomprimono, risolvono le API di Windows richieste ed eseguono il payload direttamente in memoria.
Le API associate a questa catena di esecuzione possono includere LoadLibrary, GetProcAddress, VirtualAlloc, CreateThread e WaitForSingleObject.
Un file JPEG scaricato da un servizio di immagini pubblico deve essere considerato sospetto quando viene recuperato da PowerShell, mshta.exe, un motore di scripting o un altro processo non legato al browser ed è immediatamente seguito da un'allocazione di memoria o dall'esecuzione di codice.
Furto di credenziali e documenti
Dopo l’esecuzione, ACR Stealer prende di mira i browser basati su Chromium, tra cui Google Chrome e Microsoft Edge.
Gli elementi presi di mira possono includere i database dei dati di accesso e dei dati web, gli archivi dei cookie del browser, le password salvate, i token di autenticazione, le informazioni di compilazione automatica, i cookie delle sessioni web attive, le chiavi di crittografia del browser e i dati protetti da Windows DPAPI.
Il malware cerca inoltre file di alto valore, tra cui documenti PDF, documenti Microsoft Word, cartelle di lavoro Microsoft Excel e presentazioni Microsoft PowerPoint. Può effettuare ricerche nelle directory "Desktop" e "Download", nonché nei file sincronizzati tramite OneDrive e SharePoint.
I dati raccolti potrebbero essere inseriti in un archivio prima dell’esfiltrazione.
Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, contattateciper scoprire come proteggere la vostra organizzazione.