ACR Stealer: Nuevo malware especializado en robo de credenciales y documentos en entornos empresariales
Introducción
Durante 2024, la amenaza de los infostealers ha evolucionado con la aparición de ACR Stealer, una familia de malware especialmente diseñada para infiltrarse en redes corporativas y extraer información sensible. Según ha desvelado el equipo de Defender Experts de Microsoft, ACR Stealer está logrando acceder a contraseñas almacenadas en navegadores, tokens de sesión activos, documentos PDF, ficheros de Microsoft 365 y archivos sincronizados en carpetas de OneDrive y SharePoint, lo que incrementa considerablemente el riesgo para empresas de todos los tamaños.
Contexto del Incidente o Vulnerabilidad
ACR Stealer comenzó a detectarse a principios de 2024 y rápidamente se ha posicionado como una de las amenazas más efectivas para el robo de información corporativa. Este malware aprovecha la ingeniería social para comprometer a los usuarios, quienes, mediante la ejecución de comandos maliciosos en el cuadro de diálogo «Ejecutar» de Windows, permiten la descarga y ejecución del payload. Microsoft ha identificado al menos dos cadenas de distribución activas que explotan la confianza y la falta de concienciación de los empleados para lograr la infección inicial.
Detalles Técnicos
El análisis técnico de ACR Stealer revela el aprovechamiento de técnicas y tácticas alineadas con el framework MITRE ATT&CK, particularmente en las fases de Initial Access (T1566 – Phishing y T1204 – User Execution), Credential Access (T1555 – Credentials from Password Stores) y Collection (T1114 – Email Collection, T1005 – Data from Local System).
El vector de ataque más comúnmente observado consiste en la propagación de comandos aparentemente legítimos a través de mensajes de correo electrónico o plataformas colaborativas. Cuando el usuario copia y pega el comando en el cuadro «Ejecutar» (Win+R) y pulsa Enter, se inicia la descarga de un ejecutable desde un servidor controlado por el atacante. Este ejecutable, frecuentemente ofuscado mediante herramientas como UPX o packers personalizados, despliega el payload de ACR Stealer, que se ejecuta en memoria para minimizar su huella en disco y dificultar la detección por soluciones antimalware tradicionales.
Las versiones afectadas incluyen Windows 10 y Windows 11 en todas sus ediciones, dado que el vector de entrada aprovecha funciones estándar del sistema operativo y no depende de vulnerabilidades explotables (no se ha asignado un CVE específico hasta la fecha). Sin embargo, se han observado variantes que integran exploits para elevar privilegios locales (T1068 – Exploitation for Privilege Escalation), lo que podría ampliar el alcance del ataque.
En cuanto a los indicadores de compromiso (IoC), los analistas han identificado hashes de archivos asociados, dominios de C2, y patrones de tráfico HTTP/HTTPS inusual hacia infraestructuras alojadas en servicios de nube pública y bulletproof hosting. Asimismo, los artefactos extraídos muestran integración con frameworks como Metasploit para el despliegue automatizado, y se han detectado módulos para la exfiltración directa a servicios de almacenamiento en la nube.
Impacto y Riesgos
El impacto potencial de ACR Stealer es considerable. La capacidad para capturar credenciales guardadas en navegadores (Chrome, Edge, Firefox), tokens de sesión activos (incluidos los de Microsoft 365) y extraer documentos corporativos en tiempo real amplifica el riesgo de compromiso de cuentas, espionaje corporativo y filtración de información confidencial.
Según estimaciones de Microsoft, en los tres primeros meses de actividad se han detectado incidentes en al menos un 15% de las grandes organizaciones que monitorizan, con pérdidas económicas derivadas de robo de información y accesos ilícitos que podrían superar los 10 millones de euros. Además, la exfiltración de datos sujetos a GDPR o NIS2 puede acarrear sanciones regulatorias significativas.
Medidas de Mitigación y Recomendaciones
Se recomienda a los equipos de ciberseguridad implementar medidas defensivas multilayered, incluyendo:
– Bloqueo de ejecutables desconocidos y no firmados en endpoints mediante políticas de Application Control.
– Monitorización y alertado de comandos ejecutados a través de Win+R, PowerShell y CMD, priorizando la detección de patrones anómalos.
– Refuerzo de la concienciación del usuario para evitar la ejecución de comandos no verificados.
– Despliegue de soluciones EDR con capacidad de detección en memoria y análisis de comportamiento.
– Revisión y endurecimiento de políticas de gestión de credenciales y sesiones en Microsoft 365, OneDrive y SharePoint.
– Aplicación de autenticación multifactor (MFA) en todos los accesos críticos.
– Actualización regular de firmas y reglas YARA/Sigma para identificar artefactos relacionados con ACR Stealer.
– Revisión periódica de logs y análisis forense ante cualquier indicio de acceso no autorizado o exfiltración.
Opinión de Expertos
Según Pablo González, investigador principal de ciberamenazas en Telefónica Tech, “ACR Stealer representa un avance cualitativo en el robo de información, al combinar técnicas de ingeniería social altamente efectivas con capacidades de persistencia y exfiltración en tiempo real. La clave está en la educación de los usuarios y la visibilidad sobre la actividad en los endpoints”.
Por su parte, el equipo de análisis de amenazas de S21sec advierte: “La velocidad con la que los atacantes pueden pivotar tras obtener credenciales y tokens hace imprescindible el refuerzo de controles de acceso y la detección proactiva”.
Implicaciones para Empresas y Usuarios
El uso extendido de servicios cloud y la dependencia de credenciales sincronizadas convierten a ACR Stealer en una amenaza crítica para el tejido empresarial. La rápida extracción de información y la capacidad de lateralización comprometen la integridad de datos y la continuidad del negocio. Las empresas deben revisar sus estrategias de respuesta ante incidentes y adaptar sus controles a un escenario donde el usuario es el principal vector de entrada.
Conclusiones
ACR Stealer marca un antes y un después en el panorama de los infostealers orientados a entornos corporativos. Su eficacia radica en la simplicidad y en la explotación del eslabón más débil: el usuario. Los equipos de seguridad deben priorizar la monitorización de comandos ejecutados y reforzar la formación, manteniéndose actualizados ante la evolución de esta amenaza.
(Fuente: feeds.feedburner.com)