ACRStealer: профиль инфостилера для Windows

ACRStealer: детальный разбор функциональности​

1. Сбор системной информации​

• Имя компьютера и пользователя (Environment.MachineName, Environment.UserName)
• Версия ОС, архитектура, язык системы
• Наличие антивируса/EDR (через WMI-запрос к SecurityCenter2)
• Список запущенных процессов
• Разрешение экрана (для определения виртуальной среды)

2. Кража данных из браузеров​

%LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data
%LOCALAPPDATA%\Google\Chrome\User Data\Default\Cookies
%LOCALAPPDATA%\Google\Chrome\User Data\Default\Web Data
%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Login Data

1. Копирует SQLite-базу (браузер блокирует файл при работе)
2. Извлекает зашифрованный мастер-ключ из Local State (JSON-файл)
3. Расшифровывает ключ через DPAPI (CryptUnprotectData)
4. Дешифрует пароли/cookies AES-GCM (начиная с Chrome 80+)

%APPDATA%\Mozilla\Firefox\Profiles\*.default*\logins.json
%APPDATA%\Mozilla\Firefox\Profiles\*.default*\key4.db

• Сохранённые пароли (URL + логин + пароль)
• Cookies (для перехвата сессий)
• История посещений
• Данные автозаполнения (адреса, карты)
• Закладки (в некоторых версиях)

3. Кража криптокошельков​

%APPDATA%\Bitcoin\wallet.dat
%APPDATA%\Ethereum\keystore\
%APPDATA%\Electrum\wallets\
%APPDATA%\Exodus\
%APPDATA%\Atomic\
%APPDATA%\Zcash\

%LOCALAPPDATA%\Google\Chrome\User Data\Default\Local Extension Settings\

• MetaMask: nkbihfbeogaeaoehlefnkodbefgpgknn
• Coinbase Wallet: hnfanknocfeofbddgcijnmhnfnkdnaad
• Trust Wallet: egjidjbpglichdcondbcbdnbeeppgdph
• Phantom: bfnaelmomeimhlpmgjnjophhpkkoljpa

4. Кража данных из мессенджеров и клиентов​

• Discord: токены из %APPDATA%\discord\Local Storage\leveldb\
• Telegram: сессии из %APPDATA%\Telegram Desktop\tdata\
• Steam: ssfn* файлы и config.vdf из %PROGRAMFILES(X86)%\Steam\

5. Кража файлов (Grabber)​

*.txt, *.doc, *.docx, *.xls, *.xlsx, *.pdf, *.rtf
*.wallet, *.dat, *.key, *.pem, *.json

6. Эксфильтрация​

• Telegram Bot API (наиболее часто): POST https://api.telegram.org/bot<TOKEN>/sendDocument
• Discord Webhook: POST https://discord.com/api/webhooks/<ID>/<TOKEN>
• HTTP POST на C2-сервер (реже)

7. Антианализ и обход​

• Проверка на виртуальные среды (VMware, VirtualBox, Hyper-V) по MAC-адресам, процессам, реестру
• Проверка на sandbox по времени аптайма, объёму RAM, разрешению экрана
• Обфускация строк (base64, XOR)
• В некоторых версиях — anti-debug через IsDebuggerPresent / CheckRemoteDebuggerPresent

Индикаторы для детектирования​

Пример YARA-правила​

rule ACRStealer_Generic {
    meta:
        description = "Detects ACRStealer samples"
        author = "zer0kernel"
    strings:
        $s1 = "Login Data" ascii wide
        $s2 = "Local State" ascii wide
        $s3 = "sendDocument" ascii wide
        $s4 = "nkbihfbeogaeaoehlefnkodbefgpgknn" ascii
        $s5 = "CryptUnprotectData" ascii wide
        $s6 = "wallet.dat" ascii wide
        $s7 = "tdata" ascii wide
    condition:
        uint16(0) == 0x5A4D and (4 of them)
}