Acreed Stealer

Ang Acreed ay isang modernong magnanakaw ng impormasyon na mabilis na tumaas sa hanay ng mga pinakalaganap na magnanakaw. Dahil partikular nitong tina-target ang mga kredensyal, artifact ng browser, app sa pagmemensahe, at mga wallet ng cryptocurrency, ang isang matagumpay na impeksiyon ay maaaring humantong sa pagnanakaw ng kredensyal, mga na-hijack na paglilipat ng crypto, pagkuha ng account, at pangmatagalang pagtitiyaga sa isang makina ng biktima. Samakatuwid, ang pagprotekta sa mga endpoint at gawi ng user ay kritikal: kapag ang sensitibong data ay umalis sa isang device, kadalasan ay imposibleng ganap na mabawi.

Acreed Goes After High-value Digital Assets

Nakatuon ang Acreed sa data na may agarang halaga ng pera o nagbibigay-daan sa pagkuha ng account:

• naka-save na mga password, cookies, at mga entry sa autofill mula sa mga browser (Brave, Chrome, Edge),
• browser-based at system cryptocurrency wallet (parehong buong client at extension wallet),
• data ng credit card at data ng app sa pagmemensahe na maaaring abusuhin para sa panloloko o social engineering.

Ang Acreed ay aktibong naghahanap ng malawak na hanay ng wallet software at mga extension ng browser, kabilang ang (ngunit hindi limitado sa) ArgentX, Binance, Coinbase, Crypto.com, Kasware, Martian, MetaMask, OKX, Phantom, Rabby, ReadyWallet, Ronin, Sui, ToonKeeper, TronLink, at Trust. Sa pamamagitan ng pag-enumerate sa parehong mga naka-install na application at mga folder ng extension ng browser, na-maximize nito ang posibilidad na mahanap ang mga key, seed phrase, pribadong JSON file, o iba pang materyal na wallet.

Paano Gumagana ang Malware

Ang Acreed ay karaniwang inihahatid sa pamamagitan ng isang loader (ShadowLoader) at sumusunod sa isang multi-stage na injection at modelo ng koleksyon:

• Ang ShadowLoader ay nag-drop ng dalawang PE file na nakabalot ng isang lehitimong WebView2 DLL—ang lehitimong wrapper na ito ay tumutulong sa loader na makaiwas sa mga simpleng pagtukoy at pag-check ng lagda.
• Kapag tumatakbo na ang Acreed, binibilang nito ang mga direktoryo ng 'Data ng User' ng browser (mga bookmark, kasaysayan, cookies, cache, mga extension, autofill at naka-save na mga kredensyal) at nag-scan para sa mga file ng wallet at data ng extension.
• Kinukuha nito ang data ng messaging app at iba pang personal na file na maaaring abusuhin sa mga follow-up na pag-atake.
• Higit sa lahat, kasama sa Acreed ang mga kakayahan sa pag-hijack ng transaksyon: maaari nitong palitan ang mga address ng wallet na ipinapakita sa mga webpage, baguhin ang mga QR code, palitan ang mga nilalaman ng clipboard, at makuha ang mga na-type/isumiteng address ng wallet — lahat ay nilayon upang ilihis ang mga pondo sa mga wallet na kontrolado ng attacker.

Mga Di-pangkaraniwang Pamamaraan ng Command-and-Control (C2).

Gumagamit si Acreed ng mga hindi tipikal na pampublikong mapagkukunan para sa configuration at C2, na tumutulong dito na pagsamahin ang lehitimong trapiko sa mga nakakahamak na signal:

• Kinukuha ng ilang sample ang impormasyon ng C2 mula sa isang smart contract na naka-deploy sa BNB Smart Chain Testnet.
• Gumagamit ang ibang mga sample ng mga pampublikong post sa mga platform gaya ng Steam para i-encode ang control data.
  Ginagawa ng mga diskarteng ito ang pagtuklas ng C2 na mas mapaghamong at nagpapakumplikado sa mga panuntunan sa pag-detect na nakatuon lang sa mga klasikong C2 na domain.

Gumagamit ang mga attacker na naghahatid ng Acreed ng malawak na toolkit ng mga ruta ng impeksyon:
pirated software at mga crack na installer, malvertising, tech-support scam, email attachment at malisyosong link, mga third-party na updater at downloader, P2P network, infected na USB device, at pagsasamantala ng unpatched software. Ang lawak na ito ay nangangahulugan na ang mga user ay maaaring malantad sa pamamagitan ng parehong direktang phishing at araw-araw na peligrosong pag-download.

Bakit Delikado ang Acreed

Pinagsasama ng Acreed ang nakatutok na pag-target ng mga crypto wallet na may malawak na browser at pagnanakaw ng data sa pagmemensahe, at gumagamit ito ng palihim na multi-stage loader at hindi kinaugalian na mga channel ng C2 upang gawing kumplikado ang pagtuklas. Ang kakayahan nitong mag-hijack ng mga transaksyon (pagmamanipula sa webpage/QR/clipboard) ay nagko-convert ng ninakaw na data sa halos agarang pagkawala ng pananalapi, na ginagawang mahalaga ang pag-iwas at mabilis na pagpigil. Palakasin ang mga kontrol sa endpoint, bawasan ang mga nakaimbak na sikreto, at ituring ang anumang kumpirmadong impeksiyon bilang isang insidenteng may matinding pangangailangan.