Voleur d'Acreed

Acreed est un voleur d'informations moderne qui s'est rapidement hissé au rang des voleurs les plus répandus. Comme il cible spécifiquement les identifiants, les artefacts de navigateur, les applications de messagerie et les portefeuilles de cryptomonnaies, une seule infection réussie peut entraîner le vol d'identifiants, le détournement de transferts de cryptomonnaies, le piratage de comptes et une persistance à long terme sur la machine de la victime. La protection des terminaux et du comportement des utilisateurs est donc essentielle : une fois que des données sensibles quittent un appareil, il est souvent impossible de les récupérer complètement.

Acreed s’attaque aux actifs numériques de grande valeur

Acreed se concentre sur les données qui ont une valeur monétaire immédiate ou qui permettent la prise de contrôle de compte :

• mots de passe enregistrés, cookies et entrées de saisie automatique des navigateurs (Brave, Chrome, Edge),
• portefeuilles de crypto-monnaie basés sur un navigateur et un système (portefeuilles clients complets et portefeuilles d'extension),
• données de carte de crédit et données d'applications de messagerie qui peuvent être utilisées à des fins de fraude ou d'ingénierie sociale.

Acreed recherche activement un large éventail de logiciels de portefeuille et d'extensions de navigateur, notamment ArgentX, Binance, Coinbase, Crypto.com, Kasware, Martian, MetaMask, OKX, Phantom, Rabby, ReadyWallet, Ronin, Sui, ToonKeeper, TronLink et Trust. En recensant les applications installées et les dossiers d'extensions de navigateur, il optimise les chances de localiser les clés, les phrases clés, les fichiers JSON privés ou tout autre élément du portefeuille.

Comment fonctionne le logiciel malveillant

Acreed est généralement livré via un chargeur (ShadowLoader) et suit un modèle d'injection et de collecte en plusieurs étapes :

• ShadowLoader supprime deux fichiers PE qui sont enveloppés dans une DLL WebView2 légitime. Ce wrapper légitime aide le chargeur à échapper aux simples vérifications de détection et de signature.
• Une fois Acreed en cours d'exécution, il énumère les répertoires « Données utilisateur » du navigateur (signets, historique, cookies, cache, extensions, remplissage automatique et informations d'identification enregistrées) et recherche les fichiers de portefeuille et les données d'extension.
• Il collecte les données des applications de messagerie et d’autres fichiers personnels qui peuvent être exploités lors d’attaques ultérieures.
• Fondamentalement, Acreed inclut des capacités de détournement de transactions : il peut remplacer les adresses de portefeuille affichées sur les pages Web, modifier les codes QR, substituer le contenu du presse-papiers et capturer les adresses de portefeuille saisies/soumises, le tout destiné à détourner des fonds vers des portefeuilles contrôlés par des attaquants.

Techniques inhabituelles de commandement et de contrôle (C2)

Acreed utilise des sources publiques atypiques pour la configuration et le C2, ce qui l'aide à mélanger le trafic légitime avec les signaux malveillants :

• Certains échantillons récupèrent des informations C2 à partir d'un contrat intelligent déployé sur le réseau de test BNB Smart Chain.
• D'autres échantillons utilisent des publications publiques sur des plateformes telles que Steam pour encoder des données de contrôle.
  Ces techniques rendent la découverte C2 plus difficile et compliquent les règles de détection qui se concentrent uniquement sur les domaines C2 classiques.

Les attaquants qui diffusent Acreed utilisent une large boîte à outils de voies d’infection :
Logiciels piratés et installateurs crackés, publicités malveillantes, arnaques au support technique, pièces jointes et liens malveillants, programmes de mise à jour et de téléchargement tiers, réseaux P2P, clés USB infectées et exploitation de logiciels non corrigés. Cette ampleur expose les utilisateurs à la fois par hameçonnage direct et par des téléchargements risqués du quotidien.

Pourquoi Acreed est dangereux

Acreed combine le ciblage ciblé des portefeuilles cryptographiques avec un vol massif de données de navigation et de messagerie. Il utilise un chargeur furtif à plusieurs étapes et des canaux C2 non conventionnels pour complexifier la détection. Sa capacité à détourner les transactions (manipulation de pages web, de codes QR ou de presse-papiers) transforme les données volées en pertes financières quasi immédiates, rendant la prévention et un confinement rapide essentiels. Renforcez les contrôles des terminaux, réduisez le nombre de secrets stockés et traitez toute infection confirmée comme un incident hautement urgent.