ACR Stealer : Comment la technique ClickFix dérobe vos données Microsoft 365

Qu'est-ce que ACR Stealer et pourquoi menace-t-il nos entreprises ?

La sécurité informatique des entreprises fait face à une menace particulièrement redoutable nommée ACR Stealer. Ce logiciel malveillant, actif depuis 2024, s'est spécialisé dans le vol de données hautement sensibles au sein des réseaux professionnels. Contrairement aux virus classiques qui tentent de s'infiltrer en exploitant des failles complexes, ACR Stealer utilise la ruse pour pousser les utilisateurs à ouvrir eux-mêmes la porte de leur système.

Ce programme malveillant appartient à la catégorie des infostealers, des outils conçus exclusivement pour dérober des informations d'identification. Il cible en priorité les navigateurs Web, les portefeuilles de cryptomonnaies, mais aussi les sessions actives de services cloud majeurs comme Microsoft 365. Sa propagation rapide inquiète les experts en sécurité du monde entier, notamment en raison de sa redoutable simplicité d'exécution.

Les récentes analyses publiées par les équipes de recherche de Microsoft mettent en lumière une recrudescence d'attaques sophistiquées. Les cybercriminels derrière cette campagne ne se contentent plus de simples pièces jointes infectées. Ils déploient des scénarios d'ingénierie sociale extrêmement convaincants qui neutralisent les défenses techniques traditionnelles en s'appuyant sur l'action involontaire de la victime elle-même.

Le piège redoutable du ClickFix : L'illusion d'une assistance technique

Le principal vecteur de propagation d'ACR Stealer repose sur une technique de manipulation psychologique appelée ClickFix. Ce procédé consiste à afficher de fausses fenêtres d'erreur sur le navigateur de la victime. Ces alertes imitent à la perfection des messages système d'éditeurs reconnus, tels que Google Chrome, Microsoft Edge, ou des plateformes de visioconférence comme Zoom et Google Meet.

Le message d'erreur indique généralement qu'une mise à jour est requise ou qu'un problème d'affichage empêche la lecture d'un document important. Pour résoudre ce problème fictif, l'utilisateur est invité à cliquer sur un bouton 'Fix' ou 'Corriger'. C'est à ce moment précis que le piège se referme : le site copie automatiquement une commande malveillante dans le presse-papiers de la victime.

L'étape suivante requiert une action manuelle de l'utilisateur, souvent guidée par des instructions détaillées à l'écran. Le site frauduleux demande d'ouvrir la boîte de dialogue 'Exécuter' de Windows (via le raccourci clavier Windows + R), d'y coller le texte précédemment copié, puis d'appuyer sur Entrée. En effectuant cette manipulation, l'utilisateur exécute directement le code malveillant avec ses propres privilèges système.

Cette méthode est redoutable car elle contourne les filtres de téléchargement des navigateurs. Le fichier malveillant n'est pas téléchargé de manière conventionnelle, ce qui évite d'alerter les mécanismes de protection web standard. L'exécution directe via la commande 'Exécuter' ou PowerShell donne au script un accès immédiat aux ressources locales de la machine sans éveiller les soupçons.

Analyse technique : Les deux vagues d'attaque décryptées par Microsoft

Les spécialistes de Microsoft ont identifié deux chaînes d'intrusion distinctes utilisées par les opérateurs d'ACR Stealer. La première méthode s'appuie sur l'utilisation de serveurs distants utilisant le protocole WebDAV. Lorsque l'utilisateur valide la commande piégée, le système d'exploitation Windows tente de se connecter à un partage réseau externe pour récupérer et exécuter le script malveillant.

La seconde méthode, encore plus subtile, utilise la technique de la stéganographie. Les attaquants dissimulent le code malveillant à l'intérieur d'images au format JPEG apparemment inoffensives. Le script initial collé par l'utilisateur télécharge cette image, en extrait les données cachées, puis reconstitue le programme ACR Stealer en mémoire vive, évitant ainsi d'écrire des fichiers suspects sur le disque dur.

Une fois activé, le logiciel malveillant commence immédiatement sa phase de reconnaissance et de collecte de données. Il scanne les répertoires système à la recherche de bases de données de navigateurs, de fichiers de configuration et de clés de chiffrement. L'utilisation combinée de protocoles réseau standards et de techniques de dissimulation rend la détection de cette phase particulièrement difficile pour les antivirus non mis à jour.

Le vol d'informations s'effectue en quelques secondes seulement. ACR Stealer compresse les données collectées dans une archive chiffrée avant de les envoyer vers un serveur de contrôle (C2) géré par les attaquants. Ce processus rapide limite considérablement le temps de réaction des administrateurs système, qui ne découvrent l'intrusion que bien après la fuite des données.

Quelles sont les données ciblées par ACR Stealer ?

Le spectre de collecte d'ACR Stealer est particulièrement large et montre une volonté claire de cibler l'environnement professionnel. Le logiciel ne se limite pas à dérober les mots de passe enregistrés dans les navigateurs comme Chrome, Firefox ou Edge. Il cible activement les jetons de session actifs (session tokens), qui permettent de maintenir une connexion ouverte sans réclamer de mot de passe.

En s'emparant de ces jetons, les cybercriminels peuvent contourner la double authentification (MFA). Ils peuvent ainsi se connecter à vos comptes professionnels comme s'ils utilisaient votre propre ordinateur, sans déclencher d'alerte de sécurité majeure. Cette technique, appelée 'session hijacking', représente aujourd'hui l'une des plus grandes menaces pour la sécurité des services cloud.

En plus des identifiants, ACR Stealer recherche activement des fichiers locaux sensibles. Il cible spécifiquement les documents PDF, les fichiers Microsoft 365 (Word, Excel) ainsi que les répertoires synchronisés avec OneDrive et SharePoint. Une seule infection peut ainsi compromettre l'intégralité des documents de travail d'un collaborateur, incluant des données financières, des contrats ou des informations clients.

Voici une liste non exhaustive des éléments ciblés par ce logiciel malveillant :

• Les mots de passe et identifiants stockés dans les navigateurs Web courants.
• Les cookies de session et jetons d'authentification pour les services cloud.
• Les données de remplissage automatique des formulaires (adresses, téléphones).
• Les portefeuilles de cryptomonnaies locaux et extensions de navigateur associées.
• Les documents confidentiels stockés dans les dossiers synchronisés OneDrive et SharePoint.
• Les fichiers de configuration d'applications de messagerie et de clients VPN.

Tableau comparatif : Phishing traditionnel vs Attaque ClickFix

Pour mieux comprendre la dangerosité de cette nouvelle approche, il est utile de comparer le fonctionnement d'une attaque de phishing classique avec celui d'une campagne ClickFix utilisant ACR Stealer.

Les signes qui doivent vous alerter d'une éventuelle infection

Détecter rapidement une infection par un infostealer comme ACR Stealer est crucial pour limiter la portée des dégâts. Bien que ces logiciels soient conçus pour être discrets, certains comportements inhabituels sur un poste de travail peuvent indiquer que la machine a été compromise. Être attentif à ces signaux permet de réagir avant que les attaquants n'exploitent pleinement les données volées.

L'un des premiers indices est l'apparition de connexions réseau inhabituelles ou de ralentissements inexpliqués du système. Si votre ordinateur semble ralentir subitement après que vous avez cliqué sur un lien ou exécuté une commande, cela peut être le signe qu'un processus d'exfiltration de données est en cours en arrière-plan. De plus, des alertes de sécurité de votre système d'exploitation ou de votre navigateur doivent toujours être prises au sérieux.

Un autre signal d'alerte majeur concerne l'activité de vos comptes en ligne. Si vous recevez des notifications de connexion suspectes depuis des zones géographiques inhabituelles, ou si vous constatez des modifications non autorisées dans vos paramètres de messagerie, il est fort probable que vos jetons de session aient été dérobés. Dans ce cas, une intervention immédiate est requise pour réinitialiser toutes les sessions actives.

Enfin, si des collaborateurs signalent des messages d'erreur étranges ou des demandes de copier-coller inattendues lors de leur navigation quotidienne, cela doit déclencher une vérification de sécurité. La sensibilisation des équipes à la remontée rapide de ces incidents est une composante essentielle de la cyber-résilience de votre entreprise.

La gestion des accès et le principe du moindre privilège

Pour réduire considérablement l'impact d'une attaque par ACR Stealer, la mise en œuvre du principe du moindre privilège est une stratégie incontournable. Ce principe consiste à accorder aux utilisateurs uniquement les droits d'accès et d'exécution strictement nécessaires à l'accomplissement de leurs tâches quotidiennes. Limiter les privilèges administratifs est l'une des mesures les plus efficaces pour bloquer les logiciels malveillants.

Dans de nombreuses TPE et PME, les utilisateurs disposent par défaut de droits d'administrateur local sur leur session de travail. Cette configuration facilite certes la gestion quotidienne, mais elle représente un risque majeur. Si une session compromise dispose de droits d'administrateur, le script malveillant exécuté via la boîte 'Exécuter' aura un accès total au système, lui permettant de désactiver les protections locales.

En retirant les droits d'administrateur aux utilisateurs standards, vous dressez une barrière solide contre les infections. Même si un collaborateur est piégé par une technique ClickFix, le script malveillant se heurtera à des restrictions d'exécution. Il ne pourra pas accéder aux zones sensibles du système d'exploitation ni modifier les configurations de sécurité globales de la machine.

Cette approche doit s'accompagner d'une gestion rigoureuse des accès aux partages réseau et aux dossiers cloud. En limitant l'accès aux documents sensibles aux seules personnes qui en ont réellement besoin, vous réduisez le volume de données qu'un infostealer pourrait dérober s'il parvenait à infecter un poste de travail spécifique.

Quel impact pour les TPE et PME de l'Aude et de la région de Narbonne ?

Les petites et moyennes entreprises de notre région, qu'elles soient basées à Narbonne, Sigean, Port-la-Nouvelle ou Leucate, constituent des cibles privilégiées pour ces cyberattaques. Contrairement aux grands groupes, les TPE/PME ne disposent pas toujours d'une équipe de sécurité dédiée ou d'un centre de surveillance opérationnel (SOC) capable de détecter des comportements anormaux en temps réel.

Une infection par ACR Stealer peut avoir des conséquences dramatiques sur l'activité d'une entreprise locale. Le vol de jetons de session Microsoft 365 peut permettre aux attaquants d'accéder à la messagerie de l'entreprise. Ils peuvent alors envoyer de faux messages à vos clients ou partenaires, par exemple pour modifier des coordonnées bancaires sur des factures en attente de règlement.

De plus, la perte de données confidentielles stockées sur OneDrive ou SharePoint peut placer l'entreprise en infraction vis-à-vis du Règlement Général sur la Protection des Données (RGPD). Une telle fuite de données impose des notifications obligatoires à la CNIL et aux personnes concernées, ce qui peut gravement nuire à la réputation et à la confiance de vos clients locaux.

Il est donc essentiel de comprendre que la cybersécurité n'est pas uniquement un sujet réservé aux grandes métropoles. Les entreprises de l'Aude doivent adopter des mesures de protection adaptées à la réalité de ces nouvelles menaces, en combinant des solutions techniques rigoureuses et une sensibilisation accrue de leurs collaborateurs.

Comment protéger efficacement votre infrastructure informatique ?

La lutte contre des menaces comme ACR Stealer nécessite une approche de sécurité en profondeur. La première ligne de défense reste la formation et la sensibilisation des utilisateurs. Il convient d'expliquer régulièrement aux collaborateurs qu'aucun support technique légitime ne leur demandera jamais d'exécuter des commandes via la boîte de dialogue 'Exécuter' (Win+R) ou PowerShell pour résoudre un problème de navigation.

Sur le plan technique, plusieurs configurations peuvent être déployées pour bloquer ce type d'attaque à la source. Voici les principales actions à mettre en œuvre :

• Sensibiliser les collaborateurs aux risques des manipulations de type ClickFix.
• Restreindre l'usage de PowerShell et de l'invite de commandes pour les non-administrateurs.
• Bloquer le protocole WebDAV sortant vers les adresses IP publiques non fiables.
• Déployer une solution EDR pour analyser le comportement des terminaux en temps réel.
• Réduire la durée des sessions cloud pour limiter l'exploitation des jetons volés.

La mise en place d'une solution de détection et de réponse sur les terminaux (EDR) est également un atout majeur. Contrairement aux antivirus classiques, un EDR analyse le comportement du système et peut bloquer immédiatement un processus suspect, comme un navigateur Web qui tente de lancer une commande PowerShell ou d'accéder à des zones sensibles de la mémoire vive.

Enfin, il est conseillé de configurer des politiques de gestion des sessions cloud rigoureuses. Réduire la durée de validité des jetons de session et imposer une réauthentification régulière limite la fenêtre d'opportunité pour les attaquants qui parviendraient à dérober ces jetons. L'activation de l'accès conditionnel basé sur la localisation ou la conformité des appareils renforce encore cette protection.

Le rôle de l'accompagnement informatique de proximité dans l'Aude

Face à la complexité croissante des menaces numériques, de nombreux dirigeants de TPE et PME se sentent démunis. C'est ici que l'accompagnement par un partenaire informatique local prend tout son sens. Un prestataire de proximité peut vous aider à évaluer le niveau de sécurité de votre parc informatique et à mettre en œuvre des configurations adaptées à votre activité.

Que vous ayez besoin d'un audit de sécurité, d'une assistance pour la configuration de vos outils collaboratifs, ou d'un dépannage rapide suite à un comportement suspect sur l'un de vos postes de travail, un technicien qualifié saura vous guider. Si vous constatez un comportement anormal sur vos équipements, notre service de dépannage informatique à Narbonne peut vous accompagner pour sécuriser vos postes.

Pour en savoir plus sur nos services d'accompagnement général, vous pouvez consulter notre page Services informatiques à Sigean ou découvrir notre démarche sur la page À Propos. Pour suivre l'actualité des menaces numériques et découvrir d'autres conseils pratiques, n'hésitez pas à consulter régulièrement notre blog informatique.

La sécurité informatique est un processus continu qui nécessite vigilance et adaptabilité. En adoptant les bonnes pratiques et en vous entourant de professionnels de confiance, vous protégez non seulement les données de votre entreprise, mais aussi l'avenir de votre activité face aux cybermenaces modernes.

Questions fréquentes

Sources

• Microsoft Security Blog
• The Hacker News