Microsoft Defender Experts dan Red Canary mengungkap kampanye distribusi infostealer ACR Stealer (yang juga dikenal sebagai Amatera Stealer) menggunakan teknik ClickFix yang canggih. Stealer ini aktif sejak 2024 dan dijual sebagai Malware-as-a-Service (MaaS) dengan harga $199 hingga $1.499 per tahun. Kampanye terbaru ini menggunakan dua jalur distribusi berbeda dan teknik steganography untuk menghindari deteksi, menjadikannya salah satu ancaman infostealer paling sophisticated di tahun 2026.
APA YANG TERJADI?
Tim Microsoft Defender Experts dan Red Canary menemukan kampanye distribusi ACR Stealer yang menggunakan dua jalur serangan berbeda. Jalur pertama bersifat fileless: mshta.exe menjalankan VBScript yang memanggil PowerShell untuk mengunduh steganography-laden JPEG yang menyembunyikan payload berbahaya. Jalur kedua bersifat disk-based: WebDAV digunakan sebagai vector awal, kemudian rundll32.exe menjalankan obfuscated PowerShell untuk mengeksekusi payload.
Dalam kedua jalur, ACR Stealer menargetkan browser passwords, session token, file PDF, dokumen Microsoft 365, serta file OneDrive dan SharePoint yang tersinkronisasi. Teknik distribusi menggunakan ClickFix — lures yang meminta korban menyalin dan menempelkan perintah ke dalam Run box Windows. Halaman Claude AI palsu (claude-desktop.gitlab.io) digunakan sebagai salah satu lures utama untuk menarik korban.
DETAIL TEKNIS
ACR Stealer, yang direbranding sebagai Amatera Stealer sejak kampanye terbaru, merupakan infostealer yang dijual di bawah model MaaS. Harga berlangganan berkisar dari $199 per tahun untuk fitur dasar hingga $1.499 per tahun untuk fitur premium termasuk update berkala dan support teknis. Stealer ini telah berkembang signifikan sejak kemunculan pertamanya pada 2024 dan kini menjadi salah satu produk paling kompetitif di pasar malware.
Jalur distribusi fileless menggunakan mshta.exe untuk menjalankan VBScript yang bertindak sebagai loader. VBScript kemudian memanggil PowerShell untuk mengunduh gambar JPEG dari server C2. Gambar JPEG ini menggunakan teknik steganography — payload berbahaya disembunyikan dalam pixel data gambar menggunakan algoritma Least Significant Bit (LSB) encoding. StegoLoader, teknik yang sama yang digunakan oleh Carberp, memungkinkan payload melewati scanning berbasis signature karena file yang diunduh secara teknis adalah gambar JPEG yang valid.
Jalur distribusi disk-based menggunakan WebDAV untuk mount remote share yang menyimpan payload. rundll32.exe digunakan untuk mengeksekusi DLL berbahaya, kemudian obfuscated PowerShell mengambil dan menjalankan stage berikutnya. Penggunaan ClickFix lures memanfaatkan psikologi sosial — korban secara aktif menjalankan perintah berbahaya karena percaya itu adalah solusi untuk error yang ditampilkan. Beberapa variant ACR Stealer juga mengintegrasikan EtherHiding untuk menempatkan C2 address pada blockchain, memanfaatkan teknik yang sama dengan ClearFake cluster.
Target utama ACR Stealer mencakup session token browser (memungkinkan session hijacking tanpa perlu credential), file dokumen Microsoft 365 lokal, file PDF yang tersimpan, serta data OneDrive dan SharePoint yang tersinkronisasi. Dengan mengkompromikan session token, attacker dapat mengakses akun korban tanpa password dan tanpa trigger alert login baru.
DAMPAK TERHADAP INDONESIA
Microsoft 365 merupakan platform produktivitas yang paling banyak digunakan di sektor bisnis dan pemerintahan Indonesia. ACR Stealer yang secara spesifik menargetkan token session dan file M365 memiliki dampak langsung terhadap ribuan organisasi Indonesia. Pencurian session token memungkinkan attacker mengakses email, dokumen, dan SharePoint tanpa mengetahui password, sehingga menghindari mekanisme keamanan berbasis credential.
Teknik ClickFix sangat efektif di Indonesia karena banyak pengguna Windows yang tidak terbiasa dengan social engineering tingkat lanjut. Halaman Claude AI palsu juga menjadi lures yang sangat meyakinkan mengingat popularitas AI tools di kalangan profesional Indonesia. Dengan harga MaaS mulai dari $199, ancaman ini menjadi sangat accessible bahkan bagi threat actor dengan sumber daya terbatas. Organisasi Indonesia perlu memahami bahwa infostealer bukan lagi ancaman eksklusif tetapi menjadi commodity yang tersedia secara luas di pasar gelap.
REKOMENDASI MITIGASI
Implementasikan Conditional Access policies pada Microsoft 365 untuk membatasi akses berdasarkan device compliance dan risk level. Aktifkan FIDO2 atau passwordless authentication untuk mengurangi dampak pencurian session token. Blokir eksekusi mshta.exe, wscript.exe, dan cscript.exe melalui application control policy pada endpoint. Implementasikan WebDAV client restrictions untuk mencegah drive-by mounting. Deploy EDR yang mampu mendeteksi steganography-based payload dan anomali PowerShell execution. Education awareness training harus mencakup teknik ClickFix karena ini merupakan social engineering yang memanfaatkan kebiasaan copy-paste pengguna.
Analisa Retasan
ACR Stealer merepresentasikan evolusi infostealer dari simple credential harvester menjadi platform komprehensif yang menargetkan seluruh digital identity seseorang. Dengan mencuri session token alih-alih hanya password, stealer ini memungkinkan attacker untuk mengakses akun korban tanpa melewati proses autentikasi sama sekali — tidak ada login, tidak ada MFA prompt, tidak ada alert di akun korban. Ini adalah pergeseran fundamental dalam cara infostealer beroperasi dan membuat pendekatan pertahanan berbasis credential menjadi semakin tidak memadai.
Penggunaan steganography sebagai technique untuk menghindari deteksi menunjukkan bahwa attacker terus berinovasi untuk melewati security controls berbasis signature.StegoLoader yang digunakan ACR Stealer memiliki akar teknis yang sama dengan yang digunakan oleh Carberp bank Trojan, menunjukkan bahwa teknik-teknik klasik terus diadaptasi untuk threat landscape modern. Integrasi dengan EtherHiding untuk C2 resolution menambahkan lapisan ketahanan tambahan yang membuat take-down infrastructure menjadi semakin sulit. ClearFake cluster yang menggunakan teknik serupa telah diidentifikasi oleh Red Canary sebagai ancaman nomor satu pada April 2026.
Untuk pertahanan di Indonesia, pendekatan berlapis menjadi kewajiban.Microsoft 365 Conditional Access policies harus dikonfigurasi dengan ketat, termasuk device compliance requirements dan continuous access evaluation. Endpoint protection harus mampu mendeteksi anomali execution chains seperti mshta ke VBScript ke PowerShell, serta steganography extraction. Program awareness training harus berevolusi dari sekadar “jangan klik link mencurigakan” menjadi “jangan copy-paste perintah ke Run box.” SOC di seluruh Indonesia harus memasukkan IOC ACR Stealer dan Amatera Stealer ke dalam SIEM rules dan hunting queries reguler.
Sumber: The Hacker News — ACR Stealer Uses ClickFix Lures to Steal Browser Tokens and M365 Files
Tags: ACR Stealer, Amatera Stealer, ClickFix, infostealer, steganography, EtherHiding, blockchain C2, Microsoft 365 theft, ClearFake
