LONDON (IT BOLTWISE) – Microsoft warnt vor ACR Stealer, der seit 2024 in Unternehmensnetzwerken Browserpasswörter, Live-Session-Tokens und Microsoft-365-Dokumente abgreift. Zwei Lieferketten kombinieren Social-Engineering mit einem fileless Start über mshta.exe und späterer Extraktion von Payloads aus JPEG-Pixeln. Entscheidend ist: Das Problem lässt sich nicht nur durch Passwortrotation eindämmen, weil Angreifer Tokens direkt stehlen. Neben Indikatoren nennt Microsoft auch Hunting-Queries für Defender XDR, während weitere Security-Labs ähnliche Lure-Mechaniken in der Vergangenheit dokumentierten.
ACR Stealer zeigt, wie effektiv „Paste & Run“ gegen Unternehmen funktionieren kann: Laut Microsofts Defender Experts steigt die Aktivität seit Ende April bis Mitte Juni in mehreren Kundenumgebungen an, ohne dass dabei eine Software-Lücke ausgenutzt wird. Der zentrale Hebel ist ein Prompt, der den Nutzer in einem Run-Dialog dazu bringt, eine Command einzufügen und auszuführen. Danach gehen die Angreifer über gespeicherte Browseranmeldungen hinaus und greifen Live-Session-Tokens sowie Dokumente an, die in lokalen Sync-Ordnern zu OneDrive und SharePoint liegen. Das verschiebt die typische Incident-Reaktion: Token-Revokation wird zur Pflicht, Passwortrotation allein reicht nicht.
Technisch betrachtet ist die Kampagne zweigeteilt: Eine Variante hinterlässt deutlich mehr Artefakte auf dem System, die andere arbeitet nahezu vollständig in Memory. Bei der fileless Kette startet ein eingebetteter VBScript-Loader über COM-Objekte, der wiederum PowerShell nachlädt. Im nächsten Schritt generiert der Code eine Opfer-ID, deaktiviert die Zertifikatsprüfung und führt die aus dem Download entnommene Payload in RAM aus. Statt eines klassischen Dropper-Schemas kommt ein JPEG-Ingest zum Einsatz: Ein Bildhost liefert eine vermeintliche Grafik, aus deren Pixeln der Payload-Bereich mit benutzerdefinierten Routinen extrahiert, entschlüsselt, dekomprimiert und „reflectively“ ausgeführt wird.
Für den Diebstahl der Identitäten greift ACR Stealer auf die Datenflüsse moderner Browser zu und nutzt dabei etablierte Entschlüsselungsmechanismen im Kontext des eingeloggten Nutzers. Die Malware liest die Login- und Web-Datenbanken von Chrome und Edge (typisch: „Login Data“ und „Web Data“) und verwendet anschließend DPAPI, um Passwörter, Cookies und Token zu entschlüsseln. Zusätzlich werden PDFs aus Desktop und Downloads mitgenommen. Damit wird weniger die Authentifizierung „neu erraten“ als vielmehr die vorhandene Session verlängert. Microsoft ordnet die Kampagnen dem ACR Stealer-Verhalten zu und betont, dass Domains und Infrastruktur rotieren, während der Prompt-Anstoß als gemeinsamer Nenner bestehen bleibt.
Im Marktumfeld gibt es mehrere Überschneidungen, die das Muster stützen: Am 26. Mai dokumentierte der SANS Internet Storm Center Handler Brad Duncan einen Windows-Fall, bei dem eine Seite den Nutzer als vermeintlichen Claude-Chat täuscht und über bösartige Google Ads oder SEO-manipulierte Suchtreffer erreichbar sein soll. Auf der Seite wurden je nach Plattform unterschiedliche Inhalte ausgegeben, etwa macOS- oder Windows-Anleitungen, und daraus leitete sich das gleiche Run-Dialog-„Paste“-Verhalten ab. Red Canary hatte bereits zuvor Claude-branded Lures auf GitLab-Seiten beobachtet, darunter fiktive „Claude Code“-Ansätze, die ebenfalls auf ACR Stealer zulaufen. Diese Parallelen erklären, warum Microsoft keine einzige „Lure“ benennt: Die Social-Engineering-Oberfläche variiert, die Angriffskette bleibt verwandt.
Die zweite Lieferkette, die mehr Spuren hinterlässt, setzt auf einen Remote-Share-Download per WebDAV über HTTPS. Microsoft beschreibt dabei einen Mechanismus, der einen DLL-Transfer aus einem GUID-Verzeichnis ausführt, wobei Dateinamen und Pfade so gestaltet sind, dass sie nach etwas anderem aussehen. In beobachteten Varianten wird der Share zunächst mit „pushd“ als temporäres lokales Laufwerk gemountet, bevor der Code über rundll32.exe gestartet wird. Besonders „stealthy“ wird es, wenn der Prozess als konhost.exe im headless Modus läuft und Zeichenketten über verzögerte Variablenexpansion versteckt werden. Danach folgen obfuscated PowerShell, ein ZIP-Drop unter %LocalAppData%\Temp und ein nachgelagerter pythonw.exe-Start, inklusive Aufräum- und Updater-Verhalten.
Weil die Ausführung in späteren Stufen fast komplett im Speicher bleibt, wird die forensische Arbeit schwerer, bis man die Logik kennt. Microsoft nennt außerdem eine Technik namens EtherHiding: Dabei soll ein Pointer über einen Smart Contract so „verankert“ werden, dass ein Angreifer keinen nachgelagerten, attacker-kontrollierten Resolver mehr braucht. Ergänzend beschreibt der Code Mechanismen wie das Löschen von PowerShell History, das Zeitstempeln (timestomping) und das Installieren persistenter Scheduled Tasks, die als „Software Update“ wirken. In manchen Fällen verwendet ein weiterer Python-Loader sogar öffentliche Blockchain-RPC-Endpunkte und Web3-Infrastruktur, um Hinweise für Payload- oder C2-Adressen zu beziehen. Wichtig ist: Keine dieser Stufen kompensiert den anfänglichen Nutzerfehler—der Prompt bleibt der Trigger.
Für die Verteidigung liegt der größte Hebel damit nicht im Patchen, sondern im Entkoppeln des Nutzerpfads und im Detektionsdesign. Microsoft empfiehlt, Tokens zu revoken und nicht nur Passwörter zu rotieren, dann die betroffenen Systeme zu isolieren und Anmeldeinformationen zu erneuern. Eines der wirkungsvollsten upstream Controls ist das Entfernen des Run-Dialog-Pfads per GPO sowie das Blockieren von mshta.exe über AppLocker oder WDAC. Zusätzlich sollten Application-Controls sicherstellen, dass PowerShell, Python, mshta.exe und rundll32.exe keine internetgelieferten Inhalte aus Downloads, Temp oder %LocalAppData%\Temp starten dürfen. Für Hunting schlägt Red Canary als Ansatz vor, rundll32.exe ohne Command-Line-Parameter zu finden, während gleichzeitig Netzwerkzugriffe stattfinden.
Aus Unternehmenssicht ist das Zusammenspiel aus Identitätsdiebstahl und tokenbasierten Angriffen besonders kritisch, weil es Angriffe auf „Auth-Anker“ statt nur auf Endgeräte verschiebt. Microsoft hat dafür drei Defender-XDR-Hunting-Queries und 16 Campaign-Domains bereitgestellt, weist aber darauf hin, dass die Indikatoren nur repräsentativ sind—Domains wechseln, und weitere Kampagnen dürften aktiv sein. Gleichzeitig zeigen Red Canary und andere Labs, dass Lures sich über Zeit überlappen (etwa gefälschte CAPTCHAs und Claude-Seiten im gleichen Telemetriezeitraum). Für die nächsten Monate ist daher weniger die Frage „welches Fake-Interface“ relevant, sondern ob Unternehmen den Prompt-Pfad konsequent unterbinden, Token-Lebensdauern reduzieren und die Mimikry von Droppern (WebDAV, Pixel-Payload, Scheduled Tasks) frühzeitig im Telemetrieset erkennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ACR Stealer missbraucht ClickFix-Lures und klaut Microsoft 365 über Token" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ACR Stealer missbraucht ClickFix-Lures und klaut Microsoft 365 über Token" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ACR Stealer missbraucht ClickFix-Lures und klaut Microsoft 365 über Token« bei Google Deutschland suchen, bei Bing oder Google News!