Auf den Punkt: ACR Stealer nutzt zwei technisch unterschiedliche Kampagnen, um Sicherheitstools zu umgehen und Untersuchungen zu fragmentieren – ohne dabei Softwarelücken auszunutzen.
Microsoft warnt vor zwei neuen ACR-Stealer-Kampagnen von April bis Juni 2026, die mit ClickFix-Social Engineering Anmeldedaten und Geschäftsdokumente stehlen. Die Kampagnen nutzen unterschiedliche Techniken – WebDAV-basiert oder MSHTA-basiert – um Sicherheitsvorkehrungen zu umgehen und SOC-Teams zu verwirren.
Microsoft hat zwei separate Kampagnen mit ACR Stealer dokumentiert, die zwischen Ende April und Mitte Juni 2026 beobachtet wurden. Der Infektionsvektor ist in beiden Fällen ClickFix: Angreifer täuschen Nutzer vor, Befehle zur Behebung eines erfundenen Problems auszuführen. Nach erfolgreicher Ausführung extrahiert die Malware Anmeldedaten aus Browserspeichern, Session-Token und Geschäftsdokumente – potenzielle Zugangsvektoren zu Cloud-Diensten und Grundlage für Identitätsdiebstahl in Enterprise-Umgebungen.
Die beiden Kampagnen divergieren nach der initialen Ausführung deutlich. Die erste Chain nutzt WebDAV-gehostete DLLs, PowerShell, Python-Loader, Task-Scheduler-Persistenz und die blockchaingestützte „EtherHiding“-Technik zur Erschwernisse von Erkennung und C2-Aufklärung. Die zweite Chain setzt auf MSHTA mit stark verschleiertem PowerShell, Steganographie und überwiegend dateilose In-Memory-Ausführung zur Minimierung forensischer Spuren. ACR Stealer wird laut Microsoft als Malware-as-a-Service (MaaS) angeboten und könnte mit Amatera Stealer verbunden sein.
Für CISOs ist die Strategie der zwei Kampagnen kritisch: Durch unterschiedliche Ausführungsketten erscheinen verwandte Vorfälle unverbunden, was SOC-Teams dazu führt, Incidents separat zu untersuchen und die gemeinsame Malware-Familie später zu erkennen. Dies verzögert Incident-Response und streckt begrenzte Ressourcen.
Microsoft hat Schutzmaßnahmen in Microsoft Defender for Endpoint implementiert, darunter Erkennungen für verdächtige WebDAV- und MSHTA-Aktivität, obfuskierte PowerShell, Task-Scheduler-Persistenz, In-Memory-Payload-Ausführung und Browser-Credential-Theft. Keine der Kampagnen nutzt Softwarelücken – sie funktionieren allein durch Social Engineering. Microsoft empfiehlt: Überwachung verdächtiger PowerShell-Aktivität, MSHTA-Execution, WebDAV-Verbindungen und Browser-Credential-Store-Zugriffen; Aktivierung von Microsoft Defender SmartScreen und Attack Surface Reduction (ASR) Rules; Korrelation von Endpoint-, Identity- und Netzwerk-Aktivität über XDR-Logik hinweg. Microsoft hat C2-Adressen und Payload-Hosting-Domains zur Detection bereitgestellt.
Quelle: www.csoonline.com · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.