Microsoft a averti que les attaquants varient leurs techniques de post-exploitation tout en s’appuyant sur le même leurre ClickFix, ce qui rend les incidents liés à ACR Stealer plus difficiles à relier.
Microsoft a émis un avertissement concernant une récente augmentation de l’activité des voleurs ACR qui utilisent l’ingénierie sociale de type ClickFix pour voler des informations d’identification, des données de navigateur et des documents professionnels sensibles.
Dans un nouveau rapport, les chercheurs de Microsoft ont détaillé deux campagnes distinctes observées entre fin avril et mi-juin 2026 qui utilisent des techniques d’exécution différentes pour le même vol.
La campagne a été vue incitant les utilisateurs à exécuter des commandes malveillantes pour résoudre un faux problème. Une fois le logiciel malveillant exécuté, il extrait les informations d’identification, les jetons de session et les documents stockés dans le navigateur, ce qui peut potentiellement permettre aux attaquants d’accéder aux services cloud, de se faire passer pour les utilisateurs et de mener des intrusions ultérieures dans les environnements d’entreprise.
Nick Tausek, architecte principal de l’automatisation de la sécurité chez Swimlane, pense que les attaquants pourraient utiliser deux chaînes distinctes pour tromper la défense en fonction d’indicateurs individuels. « En modifiant les modèles de livraison et d’exécution, les attaquants peuvent échapper aux défenses adaptées à une chaîne connue et donner l’impression que les incidents associés sont déconnectés », a-t-il déclaré. « Les équipes de sécurité peuvent diviser l’activité en plusieurs enquêtes distinctes, retardant ainsi la reconnaissance du malware et de l’objectif partagés. »
ACR Stealer est une famille de logiciels malveillants qui volent des informations, selon Microsoft, proposée via un modèle de malware en tant que service (MaaS), avec des liens possibles vers Amatera Stealer.
Chaînes basées sur WebDAV et MSHTA
Bien que les deux campagnes commencent par des leurres ClickFix, l’analyse de Microsoft montre qu’elles divergent après leur exécution initiale. Une chaîne d’attaque utilise des DLL hébergées par WebDAV, PowerShell, des chargeurs Python, la persistance des tâches planifiées et même une infrastructure basée sur la blockchain appelée technique « EtherHiding », pour compliquer la détection et la découverte de commande et de contrôle (C2).
La deuxième chaîne utilise MSHTA, PowerShell fortement obscurci, la sténographie et une exécution en mémoire principalement sans fichier pour minimiser les pistes médico-légales.
« La partie la plus troublante d’ACR Stealer est la flexibilité entourant le vol. Une chaîne investit dans la persistance et l’infrastructure en couches, tandis que l’autre favorise l’exécution de la mémoire et moins de traces médico-légales », a déclaré Tausek. « Ces approches semblent différentes aux yeux des défenseurs, mais toutes deux transforment un simple leurre ClickFix en informations d’identification, jetons et documents commerciaux volés. »
Les chercheurs de Microsoft ont déclaré que des protections contre ces campagnes avaient désormais été ajoutées à Defender. « Microsoft Defender for Endpoint peut aider à faire apparaître les deux campagnes grâce à une couverture comportementale pour l’exécution de la vie hors du terrain, les activités WebDAV et MSHTA suspectes, le PowerShell obscurci, la persistance des tâches planifiées, l’exécution de la charge utile en mémoire et le vol des informations d’identification du navigateur », ont-ils déclaré.
Les atténuations incluent des détections ciblées sur ClickFix
Le rapport souligne qu’aucune des campagnes n’exploite de vulnérabilité logicielle, dépendant uniquement de l’ingénierie sociale basée sur ClickFix.
Microsoft a averti ses clients Defender que les attaques ClickFix sont en augmentation et a partagé des requêtes XDR pour identifier les commandes suspectes exécutées via l’activité basée sur ClickFix observée lors de la livraison de l’ACR Stealer.
Microsoft a également recommandé, comme défense générale, de surveiller les activités PowerShell suspectes, l’exécution de MSHTA, les connexions WebDAV et les tentatives d’accès aux magasins d’informations d’identification du navigateur, tout en activant également les règles Microsoft Defender SmartScreen et Attack Surface Reduction (ASR) pour bloquer les techniques courantes de diffusion de logiciels malveillants.
« Les campagnes n’ont pas besoin de s’entraider directement pour être efficaces. Ensemble, elles créent une ambiguïté et mettent à rude épreuve les ressources limitées du SOC », a expliqué Tausek. Les équipes de sécurité ont besoin de suffisamment de visibilité pour corréler l’activité des points finaux, de l’identité et du réseau dans le cadre d’une seule intrusion évolutive, a-t-il ajouté.
Microsoft a également partagé une liste d’adresses C2 et de domaines d’hébergement de charges utiles que les défenseurs peuvent ajouter à leur détection.
