Acreed Stealer
Acreedは、急速に最も蔓延している情報窃盗マルウェアの仲間入りを果たした、最新の情報窃盗マルウェアです。認証情報、ブラウザの履歴、メッセージングアプリ、仮想通貨ウォレットを標的とするため、一度感染すると、認証情報の窃盗、仮想通貨の送金ハイジャック、アカウント乗っ取り、そして被害者のマシン上での長期的な永続化につながる可能性があります。そのため、エンドポイントとユーザーの行動を保護することが極めて重要です。機密データがデバイスから一度でも流出してしまうと、完全に復旧することは不可能な場合が多いからです。
目次
アクリード、高価値デジタル資産を狙う
Acreed は、即時の金銭的価値を持つデータやアカウント乗っ取りを可能にするデータに重点を置いています。
- 保存されたパスワード、Cookie、ブラウザ（Brave、Chrome、Edge）からの自動入力エントリ、
- ブラウザベースおよびシステム暗号通貨ウォレット（フルクライアントウォレットと拡張ウォレットの両方）
- 詐欺やソーシャルエンジニアリングに悪用される可能性のあるクレジットカードデータやメッセージング アプリのデータ。
Acreedは、ArgentX、Binance、Coinbase、Crypto.com、Kasware、Martian、MetaMask、OKX、Phantom、Rabby、ReadyWallet、Ronin、Sui、ToonKeeper、TronLink、Trustなど、幅広いウォレットソフトウェアとブラウザ拡張機能を積極的に探索します。インストールされたアプリケーションとブラウザ拡張機能フォルダの両方を列挙することで、キー、シードフレーズ、プライベートJSONファイル、その他のウォレット関連情報を見つける可能性を最大化します。
マルウェアの動作方法
Acreed は通常、ローダー (ShadowLoader) を介して配信され、多段階の注入および収集モデルに従います。
- ShadowLoader は、正規の WebView2 DLL でラップされた 2 つの PE ファイルをドロップします。この正規のラッパーは、ローダーが単純な検出と署名チェックを回避するのに役立ちます。
- Acreed が実行されると、ブラウザの「ユーザー データ」ディレクトリ (ブックマーク、履歴、Cookie、キャッシュ、拡張機能、自動入力、保存された資格情報) を列挙し、ウォレット ファイルと拡張機能データをスキャンします。
- メッセージング アプリのデータやその他の個人ファイルを収集し、後続の攻撃で悪用される可能性があります。
- 重要なのは、Acreed にはトランザクション ハイジャック機能が含まれていることです。Web ページに表示されるウォレット アドレスを置き換えたり、QR コードを変更したり、クリップボードの内容を置き換えたり、入力/送信されたウォレット アドレスをキャプチャしたりできます。これらはすべて、攻撃者が管理するウォレットに資金を流用することを目的としています。
異常なコマンドアンドコントロール（C2）手法
Acreed は、構成と C2 に非定型の公開ソースを使用しており、これにより正当なトラフィックと悪意のあるシグナルを混合することができます。
- いくつかのサンプルは、BNB スマート チェーン テストネットにデプロイされたスマート コントラクトから C2 情報を取得します。
- 他のサンプルでは、Steam などのプラットフォーム上の公開投稿を使用して制御データをエンコードします。
これらの手法により、C2 の検出はより困難になり、従来の C2 ドメインのみに焦点を当てた検出ルールが複雑になります。
Acreed を配信する攻撃者は、幅広い感染経路のツールキットを使用します。
海賊版ソフトウェアやクラックされたインストーラー、マルバタイジング、テクニカルサポート詐欺、メールの添付ファイルや悪意のあるリンク、サードパーティ製のアップデーターやダウンローダー、P2Pネットワーク、感染したUSBデバイス、パッチ未適用のソフトウェアの悪用など、多岐にわたる脅威が存在します。こうした脅威は、直接的なフィッシング攻撃だけでなく、日常的な危険なダウンロードによっても、ユーザーが危険にさらされる可能性があることを意味します。
アクリードが危険な理由
Acreedは、暗号資産ウォレットを標的とした集中的な攻撃と、ブラウザおよびメッセージングデータの広範な窃取を組み合わせ、ステルス性の高い多段式ローダーと非従来型のC2チャネルを用いて検知を困難にします。トランザクションの乗っ取り（ウェブページ／QRコード／クリップボードの操作）能力により、窃取されたデータはほぼ即座に金銭的損失につながるため、予防と迅速な封じ込めが不可欠です。エンドポイント管理を強化し、保存されている機密情報を削減し、感染が確認された場合は緊急性の高いインシデントとして対応してください。
