Acreed Stealer

„Acreed“ yra moderni informacijos vagystė, greitai pakilusi į labiausiai paplitusių informacijos vagių gretas. Kadangi ji konkrečiai taikosi į prisijungimo duomenis, naršyklės artefaktus, pranešimų programas ir kriptovaliutų pinigines, viena sėkminga užkrėtimo priemonė gali lemti prisijungimo duomenų vagystę, kriptovaliutų pervedimų užgrobimą, paskyrų perėmimą ir ilgalaikį duomenų išlikimą aukos kompiuteryje. Todėl labai svarbu apsaugoti galinius įrenginius ir naudotojų elgesį: kai jautrūs duomenys palieka įrenginį, jų dažnai neįmanoma visiškai atkurti.

„Acreed“ puola didelės vertės skaitmeninį turtą

„Acreed“ daugiausia dėmesio skiria duomenims, kurie turi tiesioginę piniginę vertę arba leidžia perimti paskyrą:

• išsaugoti slaptažodžiai, slapukai ir automatinio pildymo įrašai iš naršyklių („Brave“, „Chrome“, „Edge“),
• naršyklės pagrindu sukurtos ir sisteminės kriptovaliutų piniginės (tiek pilno kliento, tiek plėtinio piniginės),
• kredito kortelių duomenys ir pranešimų programėlių duomenys, kuriais galima piktnaudžiauti sukčiavimo ar socialinės inžinerijos tikslais.

„Acreed“ aktyviai ieško daugybės piniginių programinės įrangos ir naršyklės plėtinių, įskaitant (bet neapsiribojant) „ArgentX“, „Binance“, „Coinbase“, „Crypto.com“, „Kasware“, „Martian“, „MetaMask“, „OKX“, „Phantom“, „Rabby“, „ReadyWallet“, „Ronin“, „Sui“, „ToonKeeper“, „TronLink“ ir „Trust“. Išvardindama įdiegtas programas ir naršyklės plėtinių aplankus, ji maksimaliai padidina tikimybę rasti raktus, pradines frazes, privačius JSON failus ar kitą piniginės medžiagą.

Kaip veikia kenkėjiška programa

„Acreed“ paprastai tiekiamas per krautuvą („ShadowLoader“) ir taiko daugiapakopį įpurškimo ir surinkimo modelį:

• „ShadowLoader“ atmeta du PE failus, kurie yra apvynioti teisėtu „WebView2“ DLL – šis teisėtas apvalkalas padeda įkrovos programai išvengti paprastų aptikimo ir parašo patikrinimų.
• Kai „Acreed“ veikia, ji išvardija naršyklės „Vartotojo duomenų“ katalogus (žymes, istoriją, slapukus, talpyklą, plėtinius, automatinį pildymą ir išsaugotus prisijungimo duomenis) ir nuskaito piniginės failus bei plėtinių duomenis.
• Jis renka pranešimų programėlės duomenis ir kitus asmeninius failus, kuriais galima piktnaudžiauti atliekant tolesnes atakas.
• Svarbiausia, kad „Acreed“ turi operacijų užgrobimo galimybes: ji gali pakeisti tinklalapiuose rodomus piniginių adresus, keisti QR kodus, pakeisti iškarpinės turinį ir užfiksuoti įvestus / pateiktus piniginių adresus – visa tai skirta nukreipti lėšas į užpuolikų kontroliuojamas pinigines.

Neįprastos vadovavimo ir kontrolės (C2) technikos

„Acreed“ konfigūravimui ir C2 naudoja netipinius viešuosius šaltinius, kurie padeda sujungti teisėtą srautą su kenkėjiškais signalais:

• Kai kurie pavyzdžiai gauna C2 informaciją iš išmaniosios sutarties, dislokuotos BNB išmaniosios grandinės testavimo tinkle.
• Kituose pavyzdžiuose valdymo duomenims koduoti naudojami vieši įrašai tokiose platformose kaip „Steam“.
  Šie metodai apsunkina C2 atradimą ir aptikimo taisykles, kurios sutelktos tik į klasikinius C2 domenus.

„Acreed“ platinantys užpuolikai naudoja platų užkrėtimo kelių rinkinį:
piratinė programinė įranga ir nulaužtos diegimo programos, kenkėjiška reklama, techninės pagalbos sukčiavimas, el. laiškų priedai ir kenkėjiškos nuorodos, trečiųjų šalių atnaujinimo ir atsisiuntimo programos, P2P tinklai, užkrėsti USB įrenginiai ir netaisytos programinės įrangos išnaudojimas. Dėl tokio masto grėsmės vartotojai gali būti pažeidžiami tiek per tiesioginį sukčiavimą sukčiavimu, tiek per kasdienius rizikingus atsisiuntimus.

Kodėl Acreed yra pavojingas

„Acreed“ derina tikslinį kriptovaliutų piniginių taikymą su plačiu naršyklių ir pranešimų duomenų vagysčių spektru, o aptikimui apsunkinti naudoja slaptą daugiapakopį įkroviklį ir netradicinius C2 kanalus. Jos gebėjimas užgrobti operacijas (manipuliuojant tinklalapiu / QR kodu / iškarpine) pavogtus duomenis paverčia beveik tiesioginiais finansiniais nuostoliais, todėl prevencija ir greitas izoliavimas yra būtini. Sustiprinkite galinių taškų kontrolę, sumažinkite saugomų paslapčių skaičių ir bet kokį patvirtintą užkrėtimą traktuokite kaip skubų incidentą.