Microsoft warnt: ACR-Stealer stiehlt M365-Zugänge über ClickFix

Microsoft warnt vor einer deutlichen Zunahme von Angriffen mit dem Infostealer ACR Stealer. Die Täter locken Beschäftigte über gefälschte Fehlermeldungen (Methode „ClickFix“) dazu, selbst einen Schadbefehl auszuführen — und greifen anschließend gespeicherte Passwörter, aktive Sitzungstokens und Microsoft-365-Dateien ab. Weil kein Software-Update davor schützt, ist der Mensch am Arbeitsplatz die entscheidende Verteidigungslinie.

Was ist passiert?

Microsofts Sicherheitsteam (Defender Experts) meldet eine Angriffswelle mit dem Schadprogramm ACR Stealer — einem Infostealer, der seit 2024 als „Malware-as-a-Service“ gehandelt wird. Der Einstieg erfolgt über die Social-Engineering-Masche ClickFix: Auf einer präparierten Webseite erscheint eine angebliche Fehlermeldung oder ein „Bestätigen Sie, dass Sie ein Mensch sind“-Hinweis, der das Opfer anleitet, einen vorbereiteten Befehl zu kopieren und im Ausführen-Dialog oder Terminal zu starten. Dieser Befehl lädt über rundll32.exe eine Schad-DLL von einem entfernten WebDAV-Server nach; teils kommt auch mshta.exe zum Einsatz. Danach durchsucht die Schadsoftware das System nach verwertbaren Daten.

Wer ist betroffen?

Betroffen sind Windows-Arbeitsplätze und Microsoft-365-Nutzer in Unternehmen jeder Größe. ACR Stealer zielt auf im Browser gespeicherte Passwörter, aktive Anmelde- und Sitzungstokens, PDF-Dokumente sowie Dateien aus synchronisierten OneDrive- und SharePoint-Ordnern. Besonders heikel: Mit gestohlenen Sitzungstokens können Angreifer eine bereits bestehende Anmeldung übernehmen und damit auch klassische Multi-Faktor-Abfragen umgehen. Da der Angriff auf Täuschung statt auf eine Softwarelücke setzt, schützt kein Patch — jede Person mit Zugang zu Firmendaten ist ein mögliches Einfallstor.

Was jetzt zu tun ist

1. Beschäftigte sensibilisieren: Niemals Befehle aus einer Webseite kopieren und im „Ausführen“-Dialog (Win+R), in PowerShell oder im Terminal ausführen — auch nicht, wenn damit angeblich ein „Fehler“ behoben oder ein „Mensch-Check“ bestanden wird.
2. Ausführung eindämmen: Den Win+R-Ausführen-Dialog per Richtlinie einschränken und den Missbrauch von rundll32.exe und mshta.exe über Regeln zur Angriffsflächenreduzierung (Attack Surface Reduction) blockieren.
3. Ausgehenden Datenverkehr begrenzen: Verbindungen zu unbekannten WebDAV-Servern unterbinden.
4. Sitzungen absichern: Phishing-resistente MFA und Conditional Access nutzen, verdächtige Sitzungen zurückziehen sowie Passwörter und Tokens betroffener Konten erneuern.
5. Endpunkte überwachen: EDR bzw. Microsoft Defender aktiv halten, Alarme auf rundll32- und mshta-Aktivität prüfen und Browser-Zugangsdaten nach einem Verdacht als kompromittiert behandeln.

So hilft Binary System Services

BSS unterstützt genau hier: von praxisnahen Awareness-Schulungen gegen ClickFix-Maschen über die Härtung von Windows und Microsoft 365 (ASR-Regeln, MFA, Conditional Access) bis zum Monitoring Ihrer Endpunkte, das verdächtige Ausführungen früh erkennt. Im Verdachtsfall helfen wir, betroffene Konten und Sitzungen schnell zu sichern. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.