ACR Stealer
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
ACR Stealer es un malware escrito en C++ que funciona como un servicio de robo de información. Se distribuye como malware como servicio en foros de habla rusa y se considera una versión evolucionada del GrMsk Stealer.
Cómo llega
ACR Stealer se distribuye como un servicio de malware en foros de habla rusa. La evidencia indica que su infraestructura de comando y control es gestionada por el vendedor, sin detalles específicos sobre vectores de infección iniciales.
Qué hace una vez dentro
ACR Stealer opera como un malware de robo de información. Su infraestructura de comando y control es gestionada por el vendedor, quien administra la comunicación con las víctimas infectadas en los sistemas Windows.
A quién ataca
ACR Stealer afecta a usuarios de sistemas operativos Windows, específicamente las versiones 7 a 10. Su infraestructura de comando y control es gestionada directamente por el vendedor del servicio.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Drive-by Compromise | T1189 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Python | T1059.006 |
| Ejecución | User Execution | T1204 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Steganography | T1027.003 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Clear Command History | T1070.003 |
| Sigilo | Mshta | T1218.005 |
| Sigilo | Rundll32 | T1218.011 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Recolección | Data from Local System | T1005 |
| Recolección | Data Staged | T1074 |
| Comando y control | Web Service | T1102 |
| Comando y control | Dead Drop Resolver | T1102.001 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 129 |
| URLs | 0 |
| Hashes de archivos | 5 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 12-nov-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento
