Auf den Punkt: ACR Stealer infiziert Unternehmenskunden durch gefälschte Fehlermeldungen mit manipulierten Befehlen und stiehlt Browserdaten, Anmeldeinformationen und Cloud-Inhalte.
Microsoft hat eine verstärkte Angriffswelle mit der Infostealer-Malware ACR Stealer registriert, die zwischen Ende April und Mitte Juni 2026 gezielt Unternehmenskunden über manipulierte Systembefehle infiziert hat. Die Bedrohung zielt auf Browserdaten, Cloud-Speicher und Anmeldeinformationen ab.
Microsoft dokumentiert einen deutlichen Anstieg von Cyberangriffen mit ACR Stealer, einer als Malware-as-a-Service vertriebenen Schadsoftware, die als Weiterentwicklung der Amatera-Malware gilt. Die Attacken konzentrierten sich schwerpunktmäßig zwischen Ende April und Mitte Juni 2026 auf Unternehmenskunden. Die Angreifer nutzen die ClickFix-Methode: Opfer erhalten gefälschte Fehlermeldungen angezeigt, die sie auffordern, schädliche Befehle in der Windows-Eingabeaufforderung auszuführen, um vermeintliche Systemfehler zu beheben.
Defender-Experten identifizierten zwei hauptsächliche Infektionsketten. Bei der ersten wird das Windows-Werkzeug rundll32.exe genutzt, um eine schädliche DLL von einem WebDAV-Server zu laden, der legitime Webadressen nachahmt. Ein verschleiertes PowerShell-Skript startet dann einen Installer, der den Payload im Arbeitsspeicher ausführt. Einige Varianten nutzen zudem öffentliche Blockchains, um ihre Steuerungsserver zu lokalisieren. Der zweite Infektionsweg missbraucht mshta.exe, um über manipulierte HTML-Applikationen einen PowerShell-Downloader zu starten, der die Schadsoftware mittels Steganographie aus verschlüsselten JPEG-Bildern extrahiert. Microsoft betont, dass diese beiden Mechanismen nicht das vollständige Arsenal der ACR-Stealer-Verbreitungsmethoden abbilden.
ACR Stealer konzentriert sich auf den Diebstahl sensibler Unternehmensdaten: Im Webbrowser gespeicherte Passwörter, Cookies und Sitzungsdaten, über die Data-Protection-API (DPAPI) entschlüsselte Anmeldedaten, Datenbanken von Chromium-basierten Browsern wie Chrome und Edge, lokale PDF-Dokumente sowie Microsoft-365-Dateien von Desktop und Download-Verzeichnis, und schließlich Daten aus synchronisierten OneDrive- und SharePoint-Verzeichnissen. Die gesammelten Informationen werden lokal komprimiert und an die Angreifer übertragen.
Zur Abwehr empfiehlt Microsoft zunächst organisatorische Maßnahmen: Schulungen, um zu verhindern, dass Benutzer Befehle aus externen Quellen in administrative Werkzeuge kopieren. Auf technischer Seite sollten Webfilter implementiert werden, um den Zugriff auf unbekannte oder neu registrierte Domains zu blockieren. Zusätzlich sollten Anwendungssteuerungsregeln das Ausführen von PowerShell, Python, mshta.exe und rundll32.exe aus benutzerbeschreibbaren Verzeichnissen restriktiv limitieren.
Quelle: www.it-daily.net · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.