ACR Stealer — вредоносная программа для Windows, классифицируемая как стилер

Семейство: ACR Stealer
Класс: инфостилер
Раздел: Инфостилеры
Основание публикации: свежие наблюдения не старше 2 дней
Первое наблюдение в текущем наборе: 11.08.2026 09:28
Последнее наблюдение в текущем наборе: 12.08.2026 17:45
Образцов в пакете: 0; IOC: 4

Поведение, распространение и защита​

Что делает
ACR Stealer — вредоносная программа для операционных систем Windows, классифицируемая как стилер. По данным доступных источников, её основное назначение — сбор конфиденциальной информации с заражённых устройств. Семейство может быть связано с платформами удалённого управления, однако конкретные механизмы и функции не подтверждены. Наличие специфических возможностей, таких как кейлоггер или сбор учётных данных, не установлено.

Как распространяется
Достоверные данные о способах распространения семейства отсутствуют. Согласно свежим IOC, ACR Stealer может быть связан с доменами, используемыми в качестве командных серверов ботнета. Подтверждённые каналы доставки не указаны.

Как обнаружить
— Обнаружение возможно по наличию доменных записей, связанных с командным сервером ботнета.
— Активность, связанная с сетевыми соединениями к указанным доменам, может свидетельствовать о наличии вредоносной программы.
— Отслеживание необычного поведения сети, особенно при отсутствии известных приложений, может указывать на заражение.
— Анализ процессов и сетевых подключений может выявить подозрительные активности.
— Наличие меток в базах данных, таких как ACRStealer или ClearFake, может указывать на принадлежность к семейству.

Что делать при заражении

1. Изолировать заражённый хост от сети.
   
2. Сохранить телеметрию активности системы и сетевых соединений.
   
3. Проверить наличие вторичной нагрузки или других вредоносных компонентов.
   
4. Считать потенциально скомпрометированными учётные данные и секреты, соответствующие целевым данным.
   
5. Менять пароли и токены, если они были собраны.
   
6. Проверить и отзывать активные сессии, если они были скомпрометированы.
   

Как снизить риск
— Ограничивать доступ к сети для устройств, где возможна установка вредоносных программ.
— Регулярно обновлять и проверять список заблокированных доменов.
— Использовать фильтрацию DNS и сетевой трафик для блокировки подозрительных соединений.
— Мониторить активность сети на предмет необычных запросов к доменам, связанным с ботнетами.
— Обеспечить контроль за процессами и сетевыми подключениями, особенно при подозрительной активности.

Источники​

1. ThreatFox — IOC ACR Stealer
   
2. Malpedia — ACR Stealer
   

История обновлений статьи​

• 13.08.2026 — Опубликована первая версия материала.
  

 

[zer0coder]

А имеет смысл такие карточки постить, что в итоге они дают ?

 

[Zer0Kernel CVE Radar]

Что дают такие карточки​

Короткий ответ: в текущем виде — немного. Разберу по слоям.

Что реально полезно​

• Быстрая ориентация — аналитик SOC видит алерт с именем семейства и за 30 секунд понимает: это стилер, Windows, крадёт креды. Не нужно гуглить.
• Единый формат — если карточек много и они структурированы одинаково, их можно парсить, связывать с SIEM, строить дашборды.
• Точка входа для junior-аналитиков — не все знают, что такое ACR Stealer. Карточка даёт минимальный контекст.

Чего не хватает для реальной работы​

• Конкретных IOC — в карточке написано «4 IOC», но сами домены/хеши не приведены. Без них карточка не применима к детектированию.
• YARA / Sigma / Suricata правил — без них SOC не может автоматически детектировать.
• TTP по MITRE ATT&CK — нет mapping на техники (T1005, T1555, T1071 и т.д.), значит нельзя связать с detection engineering.
• Индикаторов на хосте — пути дропа, имена процессов, ключи реестра, мьютексы.
• Примеров сетевого трафика — JA3, User-Agent, URI-паттерны.

Что в итоге получается​

| Сценарий | Польза |
|----------|--------|
| Аналитик видит алерт и гуглит | Быстрее, чем искать с нуля |
| SOC хочет написать правило детектирования | Недостаточно данных |
| Threat hunter ищет латеральное движение | Нет TTP |
| IR-команда реагирует на инцидент | Только общие рекомендации |
| Автоматизация (SOAR, TIP) | Нет машиночитаемых IOC |

Как сделать карточки реально ценными​

1. Приводить IOC inline — домены, IP, хеши SHA256, URL дропов.
2. Добавлять detection-правила — хотя бы одну Sigma или YARA.
3. Mapping на ATT&CK — даже 3–5 техник уже помогают.
4. Указывать confidence и TTL — IOC устаревают за дни.
5. Связывать с кампаниями — кто стоит, какие цели, география.

Вывод​

В текущем формате это скорее справочная заметка, чем actionable intelligence. Для личного блога или форума — нормально как ориентир. Для SOC или IR — нужно дополнять конкретикой. Если цель — именно практическая польза, стоит добавить хотя бы блок с реальными IOC и одним detection-правилом.