Auf den Punkt: ACR Stealer exfiltriert über ClickFix-Lures Browser-Credentials und Microsoft-365-Inhalte aus Unternehmensumgebungen, indem er Anwender zur direkten PowerShell-Ausführung manipuliert.
Der Infostealer ACR Stealer entwendet aus Unternehmesnetzwerken gespeicherte Browser-Passwörter, aktive Session-Token, PDFs und Microsoft-365-Dokumente. Die Kompromittierung erfolgt über ClickFix-Köder, die Anwender dazu verleiten, Kommandos in die Windows-Ausführungsbox einzugeben.
Der Infostealer ACR Stealer ist seit 2024 in Umlauf und hat auf eine spezifische Angriffsmethode spezialisiert: Er exfiltriert gespeicherte Browser-Passwörter, aktive Session-Token, PDFs, Microsoft-365-Dokumente sowie Dateien aus synchronisierten OneDrive- und SharePoint-Ordnern. Microsoft dokumentierte am Donnerstag zwei Infektionsketten, die das Defender-Experts-Team identifiziert hat.
Der Eindringvektor basiert auf Social Engineering: Angreifer nutzen ClickFix-Köder (gefälschte Fehlermeldungen oder Supportseiten), um Nutzer zur manuellen Eingabe von Kommandozeilenbefehlen in die Windows-Ausführungsbox (Ausführen-Dialog) zu bewegen. Dies umgeht typische Abwehrmaßnahmen, da die Kommando-Ausführung direkt durch den Anwender erfolgt.
Für CISOs bedeutet dies ein erhebliches Risiko im Bereich Credential-Theft und Datenverlust. Browser-Session-Token ermöglichen Angreifern, ohne Passwort in Webkonten einzudringen. Zugleich erhält ACR Stealer Zugriff auf Microsoft-365-Umgebungen und synchronisierte Cloud-Speicher, was Intellectual Property, Kundendaten und Geschäftskorrespondenz exponiert. Die Attacke setzt keine Exploitation von Software-Schwachstellen voraus, sondern baut auf erfolgreicher Anwendertäuschung auf.
Gegenmaßnahmen sollten sowohl technische als auch organisatorische Ebenen adressieren: Endpunkt-Schutz mit Verhaltens-Erkennung, Deaktivierung der Ausführungsbox in restriktiven Umgebungen, Enforcement von bedingtem Zugriff (Conditional Access) in Microsoft 365, sowie regelmäßige Schulungen zur Erkennung von ClickFix-Ködern und Social-Engineering-Techniken.
Quelle: thehackernews.com · Erschienen 17. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.