ACR Stealer lừa người dùng dán lệnh để đánh cắp token trình duyệt và dữ liệu Microsoft 365
"Microsoft reported that ACR Stealer campaigns are using ClickFix-style social engineering lures to trick users into pasting commands into the Windows Run dialog, leading to browser credential theft, session token theft, and exfiltration of Microsoft 365 and synced cloud files. The activity uses multiple delivery chains, including fileless in-memory execution and disk-based loaders via mshta.exe, WebDAV, PowerShell, Python, and rundll32.exe; no CVE is involved, and Microsoft recommends revoking tokens, isolating affected hosts, and restricting the execution chain with application control."
Tác động cao do khả năng đánh cắp session tokens và dữ liệu Microsoft 365/OneDrive-SharePoint, đồng thời triển khai theo hướng fileless/in-memory làm tăng khó khăn phát hiện. Điểm then chốt: token theft, data exfiltration, và in-memory execution.
Rủi ro gián đoạn vận hành và tổn thất dữ liệu do exfiltrate tài liệu doanh nghiệp và tệp đồng bộ; chi phí xử lý tăng vì cần cô lập, thu hồi token và rà soát nhiều chuỗi thực thi. Điểm then chốt: nguy cơ rò rỉ dữ liệu, chi phí ứng cứu/thu hồi, và tác động đến tài khoản đồng bộ.
Microsoft cho biết các chiến dịch của ACR Stealer (infostealer hoạt động từ năm 2024) đang lợi dụng ClickFix-style social engineering để khiến nạn nhân dán lệnh vào hộp thoại Windows Run rồi nhấn Enter. Từ đó, mã độc có thể đánh cắp browser credentials, live session tokens và exfiltrate Microsoft 365 documents cùng các tệp đồng bộ từ OneDrive/SharePoint.
Báo cáo mô tả hai chuỗi triển khai. Chuỗi thứ nhất thiên về fileless in-memory execution: lệnh được dùng để khởi chạy mshta.exe tải nội dung HTA từ xa, sau đó dùng VBScript/COM để kích hoạt PowerShell và thực thi payload trong bộ nhớ. Payload được ẩn trong dữ liệu ảnh (JPEG trong “pixels”), rồi giải mã/giải nén để tiếp tục thu thập dữ liệu từ Chrome/Edge (Login Data/Web Data) và dùng DPAPI để giải mã mật khẩu, cookie và token; đồng thời lấy PDF từ Desktop/Downloads.
Chuỗi thứ hai để lại dấu vết trên đĩa: lệnh tải DLL từ WebDAV qua HTTPS, sau đó triển khai obfuscated PowerShell, thả ZIP vào %LocalAppData%\Temp, chạy pythonw.exe, tạo scheduled task giả mạo cập nhật phần mềm, timestomping và xóa lịch sử PowerShell. Một biến thể còn dùng kỹ thuật EtherHiding để ẩn con trỏ payload/C2.
Microsoft nhấn mạnh không có CVE vì không khai thác lỗ hổng; kiểm soát trọng tâm là ngăn đường tấn công “paste-and-run”, thu hồi token, cô lập máy bị ảnh hưởng và áp dụng application control/WDAC để hạn chế chuỗi thực thi (mshta.exe, PowerShell, Python, rundll32.exe) tải nội dung từ Downloads/Temp/%LocalAppData%.