Acreed Stealer

Το Acreed είναι ένα σύγχρονο πρόγραμμα κλοπής πληροφοριών που έχει αναδειχθεί γρήγορα στις πιο διαδεδομένες εφαρμογές κλοπής. Επειδή στοχεύει συγκεκριμένα διαπιστευτήρια, αντικείμενα προγράμματος περιήγησης, εφαρμογές ανταλλαγής μηνυμάτων και πορτοφόλια κρυπτονομισμάτων, μια μεμονωμένη επιτυχημένη μόλυνση μπορεί να οδηγήσει σε κλοπή διαπιστευτηρίων, παραβιασμένες μεταφορές κρυπτονομισμάτων, καταλήψεις λογαριασμών και μακροπρόθεσμη παραμονή σε έναν υπολογιστή-θύμα. Η προστασία των τελικών σημείων και της συμπεριφοράς των χρηστών είναι επομένως κρίσιμη: μόλις ευαίσθητα δεδομένα εγκαταλείψουν μια συσκευή, είναι συχνά αδύνατο να ανακτηθούν πλήρως.

Η Acreed επιδιώκει ψηφιακά περιουσιακά στοιχεία υψηλής αξίας

Η Acreed εστιάζει σε δεδομένα που έχουν άμεση χρηματική αξία ή επιτρέπουν την ανάληψη λογαριασμού:

• αποθηκευμένους κωδικούς πρόσβασης, cookies και καταχωρίσεις αυτόματης συμπλήρωσης από προγράμματα περιήγησης (Brave, Chrome, Edge),
• πορτοφόλια κρυπτονομισμάτων που βασίζονται σε πρόγραμμα περιήγησης και συστήματα (τόσο πλήρη πορτοφόλια πελατών όσο και πορτοφόλια επέκτασης),
• δεδομένα πιστωτικών καρτών και δεδομένα εφαρμογών ανταλλαγής μηνυμάτων που μπορούν να χρησιμοποιηθούν για απάτη ή κοινωνική μηχανική.

Το Acreed αναζητά ενεργά ένα ευρύ φάσμα λογισμικού πορτοφολιού και επεκτάσεων προγράμματος περιήγησης, συμπεριλαμβανομένων (ενδεικτικά) των ArgentX, Binance, Coinbase, Crypto.com, Kasware, Martian, MetaMask, OKX, Phantom, Rabby, ReadyWallet, Ronin, Sui, ToonKeeper, TronLink και Trust. Απαριθμώντας τόσο τις εγκατεστημένες εφαρμογές όσο και τους φακέλους επεκτάσεων του προγράμματος περιήγησης, μεγιστοποιεί τις πιθανότητες εντοπισμού κλειδιών, φράσεων seed, ιδιωτικών αρχείων JSON ή άλλου υλικού πορτοφολιού.

Πώς λειτουργεί το κακόβουλο λογισμικό

Το Acreed συνήθως παραδίδεται μέσω ενός φορτωτή (ShadowLoader) και ακολουθεί ένα μοντέλο πολλαπλών σταδίων έγχυσης και συλλογής:

• Το ShadowLoader αποβάλλει δύο αρχεία PE που είναι τυλιγμένα με ένα νόμιμο DLL WebView2—αυτό το νόμιμο περιτύλιγμα βοηθά το πρόγραμμα φόρτωσης να αποφύγει απλούς ελέγχους ανίχνευσης και υπογραφής.
• Μόλις εκτελεστεί το Acreed, απαριθμεί τους καταλόγους «Δεδομένα χρήστη» του προγράμματος περιήγησης (σελιδοδείκτες, ιστορικό, cookies, προσωρινή μνήμη, επεκτάσεις, αυτόματη συμπλήρωση και αποθηκευμένα διαπιστευτήρια) και σαρώνει για αρχεία πορτοφολιού και δεδομένα επεκτάσεων.
• Συλλέγει δεδομένα εφαρμογών ανταλλαγής μηνυμάτων και άλλα προσωπικά αρχεία που μπορούν να χρησιμοποιηθούν σε επόμενες επιθέσεις.
• Το Acreed περιλαμβάνει δυνατότητες παραβίασης συναλλαγών: μπορεί να αντικαταστήσει διευθύνσεις πορτοφολιών που εμφανίζονται σε ιστοσελίδες, να τροποποιήσει κωδικούς QR, να αντικαταστήσει τα περιεχόμενα του προχείρου και να καταγράψει διευθύνσεις πορτοφολιών που έχουν πληκτρολογηθεί/υποβληθεί — όλα με σκοπό την εκτροπή χρημάτων σε πορτοφόλια που ελέγχονται από εισβολείς.

Ασυνήθιστες Τεχνικές Διοίκησης και Ελέγχου (C2)

Το Acreed χρησιμοποιεί άτυπες δημόσιες πηγές για τη διαμόρφωση και το C2, το οποίο το βοηθά να συνδυάζει νόμιμη κίνηση με κακόβουλα σήματα:

• Ορισμένα δείγματα ανακτούν πληροφορίες C2 από ένα έξυπνο συμβόλαιο που έχει αναπτυχθεί στο BNB Smart Chain Testnet.
• Άλλα δείγματα χρησιμοποιούν δημόσιες αναρτήσεις σε πλατφόρμες όπως το Steam για την κωδικοποίηση δεδομένων ελέγχου.
  Αυτές οι τεχνικές καθιστούν την ανακάλυψη C2 πιο δύσκολη και περιπλέκουν τους κανόνες ανίχνευσης που εστιάζουν μόνο σε κλασικούς τομείς C2.

Οι επιτιθέμενοι που παραδίδουν το Acreed χρησιμοποιούν ένα ευρύ σύνολο εργαλείων από οδούς μόλυνσης:
πειρατικό λογισμικό και προγράμματα εγκατάστασης με παραβίαση, κακόβουλες διαφημίσεις, απάτες τεχνικής υποστήριξης, συνημμένα email και κακόβουλοι σύνδεσμοι, προγράμματα ενημέρωσης και λήψης τρίτων, δίκτυα P2P, μολυσμένες συσκευές USB και εκμετάλλευση μη ενημερωμένου λογισμικού. Αυτό το εύρος σημαίνει ότι οι χρήστες μπορούν να εκτεθούν τόσο μέσω άμεσου ηλεκτρονικού "ψαρέματος" (phishing) όσο και μέσω καθημερινών επικίνδυνων λήψεων.

Γιατί το Acreed είναι επικίνδυνο

Το Acreed συνδυάζει την εστιασμένη στόχευση κρυπτονομισμάτων με ευρεία κλοπή δεδομένων προγράμματος περιήγησης και ανταλλαγής μηνυμάτων, και χρησιμοποιεί ένα κρυφό πρόγραμμα φόρτωσης πολλαπλών σταδίων και μη συμβατικά κανάλια C2 για να περιπλέξει την ανίχνευση. Η ικανότητά του να παραβιάζει συναλλαγές (χειραγώγηση ιστοσελίδας/QR/πρόχειρου) μετατρέπει τα κλεμμένα δεδομένα σε σχεδόν άμεση οικονομική απώλεια, καθιστώντας την πρόληψη και τον γρήγορο περιορισμό απαραίτητη. Ενισχύστε τους ελέγχους των τελικών σημείων, μειώστε τα αποθηκευμένα μυστικά και αντιμετωπίστε οποιαδήποτε επιβεβαιωμένη μόλυνση ως περιστατικό υψηλής επείγουσας ανάγκης.