Microsoft Peringatkan Lonjakan Serangan ACR Stealer terhadap Pelanggan
Microsoft memperingatkan adanya lonjakan serangan yang menggunakan malware ACR Stealer untuk mencuri password yang tersimpan di browser, authentication token, serta dokumen sensitif dari pelanggan enterprise.
Gelombang serangan ini terpantau berlangsung antara akhir April hingga pertengahan Juni 2026. Dalam kampanye tersebut, pelaku ancaman memanfaatkan teknik social engineering ClickFix, server WebDAV, serta MSHTA (Microsoft HTML Application Host) untuk mengirimkan payload pencuri informasi ke sistem korban.
ACR Stealer sendiri dikenal sebagai operasi malware-as-a-service (MaaS) dan diyakini merupakan rebranding dari Amatera Stealer. Model MaaS membuat malware semacam ini lebih mudah digunakan oleh banyak pelaku ancaman karena infrastruktur, update payload, dan fitur pencurian data dapat disediakan sebagai layanan.
Dua Rantai Serangan Paling Banyak Terlihat
Microsoft menyoroti dua rantai intrusi yang paling sering digunakan dalam kampanye ACR Stealer. Keduanya sama-sama mengandalkan ClickFix untuk membujuk korban menjalankan instruksi tertentu, namun jalur eksekusi dan teknik penyembunyian payload yang dipakai berbeda.
Pada rantai pertama, serangan dimulai dari lure ClickFix yang mengeksekusi perintah untuk menjalankan DLL berbahaya dari remote WebDAV share menggunakan rundll32.exe. Penyalahgunaan WebDAV bukan hal baru, karena teknik serupa sebelumnya juga terlihat dalam distribusi malware lain.
Pelaku biasanya menggunakan struktur direktori berbasis GUID dan nama file yang dibuat menyerupai resource sah. Tujuannya adalah membuat jalur WebDAV terlihat lebih wajar dan menyatu dengan trafik jaringan yang biasa muncul di lingkungan perusahaan.
Setelah komunikasi dengan command-and-control (C2) terbentuk, skrip PowerShell yang sangat diobfuscate dijalankan untuk meluncurkan malware installer dan membuat mekanisme persistence. Rutin tersebut memasang bundled Python loader, membuat scheduled task yang disamarkan sebagai software update, memanipulasi timestamp, menghapus riwayat PowerShell, serta menyuntikkan payload akhir ke proses sistem agar berjalan langsung di memori.
Payload Disembunyikan dalam Gambar dan Layanan Blockchain
Beberapa varian ACR Stealer menggunakan layanan blockchain publik sebagai dead-drop resolver untuk memperoleh lokasi payload terbaru atau alamat C2. Teknik ini dikenal sebagai EtherHiding dan semakin sering digunakan karena dapat memanfaatkan infrastruktur publik untuk menyamarkan komunikasi berbahaya.
Pada rantai pengiriman kedua, ClickFix digunakan untuk meluncurkan MSHTA. Komponen tersebut kemudian mengambil konten berbahaya dari server penyerang dan menjalankan downloader PowerShell yang telah diobfuscate.
Malware lalu mengekstrak payload terenkripsi yang disembunyikan di dalam gambar JPEG publik menggunakan teknik steganografi. Payload tersebut kemudian dieksekusi langsung di memori, sehingga upaya deteksi berbasis file menjadi lebih sulit.
Target Utama: Password, Token, dan Dokumen Enterprise
Terlepas dari variasi rantai serangan, tujuan akhirnya tetap sama: mencuri data sensitif dari perangkat korban. ACR Stealer menargetkan password, cookies, session data, dan authentication token yang tersimpan di browser.
Malware ini juga berupaya mendekripsi data browser melalui Windows Data Protection API (DPAPI), mengakses database browser Chromium seperti Chrome dan Edge, serta mencari dokumen PDF dan Microsoft 365.
Selain itu, ACR Stealer dapat mengumpulkan file dari Desktop dan folder Downloads, serta menargetkan direktori OneDrive dan SharePoint yang tersinkronisasi di lingkungan enterprise. Semua data yang dikumpulkan kemudian diarsipkan sebagai persiapan untuk dieksfiltrasi ke infrastruktur penyerang.
Rekomendasi Mitigasi dari Microsoft
Microsoft menekankan bahwa dua kampanye tersebut hanya mewakili sebagian dari metode pengiriman ACR Stealer yang diamati. Kemungkinan besar masih ada rantai eksekusi lain yang digunakan oleh keluarga malware ini.
Sebagai pertahanan umum terhadap ClickFix, pengguna harus menghindari kebiasaan menyalin dan menjalankan instruksi di command interpreter, terutama jika instruksi tersebut diklaim sebagai cara memperbaiki error atau memverifikasi bahwa pengguna adalah manusia.
Organisasi juga disarankan mengurangi paparan terhadap rantai pengiriman berbasis web dengan menerapkan filtering, memblokir domain berisiko rendah reputasi atau baru dibuat, serta membatasi akses ke resource online yang tidak diperlukan untuk operasional bisnis.
Application control rule dapat digunakan untuk membatasi eksekusi konten dari remote resource melalui alat seperti PowerShell, Python, mshta.exe, atau rundll32.exe, terutama jika dijalankan dari path yang dapat ditulis oleh pengguna.
Lonjakan ACR Stealer menunjukkan bahwa serangan info stealer terhadap enterprise tidak lagi sekadar mencuri password browser. Dengan token, session data, dan dokumen tersinkronisasi, penyerang dapat memperoleh akses lanjutan ke layanan cloud perusahaan jika mitigasi tidak diterapkan secara ketat.
