Acreed Stealer

Acreed הוא גנבת מידע מודרנית שעלתה במהירות לשורות הגנבים הנפוצים ביותר. מכיוון שהיא מכוונת ספציפית לאישורים, פריטים מדפדפן, אפליקציות מסרים וארנקי מטבעות קריפטוגרפיים, הדבקה מוצלחת אחת יכולה להוביל לגניבת אישורים, חטיפת העברות קריפטוגרפיות, השתלטות על חשבונות והישרדות ארוכת טווח במחשב הקורבן. לכן, הגנה על נקודות קצה והתנהגות משתמשים היא קריטית: ברגע שנתונים רגישים עוזבים מכשיר, לעתים קרובות בלתי אפשרי לשחזר אותם במלואם.

Acreed רודפת אחר נכסים דיגיטליים בעלי ערך גבוה

Acreed מתמקד בנתונים בעלי ערך כספי מיידי או המאפשרים השתלטות על חשבון:

• סיסמאות, קובצי Cookie ורשומות מילוי אוטומטי שנשמרו מדפדפנים (Brave, Chrome, Edge),
• ארנקי קריפטו מבוססי דפדפן וארנקי מערכת (גם ארנקי לקוח מלאים וגם ארנקי הרחבה),
• נתוני כרטיסי אשראי ונתוני אפליקציות מסרים שעלולים לשמש לרעה לצורך הונאה או הנדסה חברתית.

Acreed מחפשת באופן פעיל מגוון רחב של תוכנות ארנק ותוספי דפדפן, כולל (אך לא רק) ArgentX, Binance, Coinbase, Crypto.com, Kasware, Martian, MetaMask, OKX, Phantom, Rabby, ReadyWallet, Ronin, Sui, ToonKeeper, TronLink ו-Trust. על ידי ספירת יישומים מותקנים ותיקיות הרחבות דפדפן, היא ממקסמת את הסיכויים לאיתור מפתחות, ביטויי זרע, קבצי JSON פרטיים או חומרי ארנק אחרים.

כיצד פועלת התוכנה הזדונית

Acreed מסופק בדרך כלל באמצעות טוען (ShadowLoader) ועוקב אחר מודל הזרקה ואיסוף רב-שלבי:

• ShadowLoader משליך שני קבצי PE עטופים בקובץ DLL לגיטימי של WebView2 - עטיפה לגיטימית זו עוזרת לטוען להתחמק מזיהוי פשוט ובדיקות חתימות.
• לאחר ש-Acreed פועל, הוא מונה את ספריות 'נתוני משתמש' של הדפדפן (סימניות, היסטוריה, קובצי Cookie, מטמון, הרחבות, מילוי אוטומטי ופרטי גישה שנשמרו) וסורק קבצי ארנק ונתוני הרחבות.
• הוא אוסף נתוני אפליקציות העברת הודעות וקבצים אישיים אחרים שניתן לנצל לרעה במתקפות המשך.
• באופן מכריע, Acreed כולל יכולות חטיפת עסקאות: הוא יכול להחליף כתובות ארנק המוצגות בדפי אינטרנט, לשנות קודי QR, להחליף תוכן לוח כתיבה וללכוד כתובות ארנק שהוקלדו/נשלחו - כל אלה נועדו להפנות כספים לארנקים הנשלטים על ידי תוקפים.

טכניקות שליטה ובקרה (C2) יוצאות דופן

Acreed משתמשת במקורות ציבוריים לא טיפוסיים עבור תצורה ו-C2, מה שעוזר לה לשלב תעבורה לגיטימית עם אותות זדוניים:

• חלק מהדוגמאות מאחזרות מידע C2 מחוזה חכם שנפרס ברשת הבדיקות של BNB Smart Chain.
• דוגמאות אחרות משתמשות בפוסטים ציבוריים בפלטפורמות כמו Steam כדי לקודד נתוני בקרה.
  טכניקות אלו הופכות את גילוי C2 למאתגר יותר ומסבכות את כללי הגילוי המתמקדים רק בתחומי C2 קלאסיים.

תוקפים המעבירים את Acreed משתמשים בערכת כלים רחבה של נתיבי הדבקה:
תוכנות פיראטיות ותוכנות מתקינות פרוצים, פרסום זדוני, הונאות תמיכה טכנית, קבצים מצורפים לדוא"ל וקישורים זדוניים, עדכון ומורידים של צד שלישי, רשתות P2P, התקני USB נגועים וניצול תוכנות שלא תוקנו. מגוון רחב של גורמים אלה מאפשר למשתמשים להיחשף הן באמצעות פישינג ישיר והן באמצעות הורדות מסוכנות יומיומיות.

למה אקרד מסוכן

Acreed משלבת מיקוד ממוקד בארנקי קריפטו עם גניבת נתוני דפדפן והעברת מסרים נרחבת, והיא משתמשת בטוען רב-שלבי חשאי ובערוצי C2 לא קונבנציונליים כדי לסבך את הזיהוי. יכולתה לחטוף עסקאות (מניפולציה של דפי אינטרנט/QR/לוח גזירים) הופכת נתונים גנובים להפסד כספי כמעט מיידי, מה שהופך מניעה ובלימה מהירה לחיוניים. חזקו את בקרות נקודות הקצה, צמצמו סודות מאוחסנים וטפלו בכל זיהום שאושר כאירוע בדחיפות גבוהה.