ACRStealer

ACRStealer es un malware especializado en el robo de información de cuentas, diseñado principalmente para atacar a usuarios de la plataforma de comunicación Discord. Su funcionamiento se centra en sustraer credenciales de acceso, tokens de autenticación y otros datos sensibles almacenados en el cliente de Discord, como detalles de tarjetas de crédito o información personal. A menudo se distribuye mediante ingeniería social, disfrazado como herramientas legítimas (como cracks de software, generadores de moneda para juegos o archivos adjuntos en mensajes directos) que, al ejecutarse, infectan el sistema.

Opera infiltrándose en los archivos locales de Discord para extraer tokens, que son códigos de acceso que permiten a los atacantes tomar el control de la cuenta sin necesidad de contraseñas. Además, puede capturar credenciales almacenadas en navegadores, datos de billeteras de criptomonedas y archivos específicos del sistema. El malware suele intentar evadir detección mediante técnicas ofuscación y persistencia, mientras envía la información robada a servidores controlados por los ciberdelincuentes.

Las consecuencias para las víctimas incluyen el secuestro de cuentas (takeover), pérdida de activos digitales, fraudes financieros o el uso de la cuenta comprometida para propagar el malware entre sus contactos. Para protegerse, se recomienda evitar descargar archivos de fuentes no confiables, mantener actualizados los antivirus y utilizar la autenticación en dos factores (2FA) en Discord y otros servicios críticos.

Funcionamiento

1. Módulos y Arquitectura

ACRStealer sigue una arquitectura modular típica de malware stealer, generalmente implementada en Python (compilado a EXE mediante PyInstaller, Nuitka o similar) o C#/.NET, con ofuscación para dificultar el análisis. Su estructura funcional se compone de varios módulos especializados:

Módulo de Ejecución y Persistencia: Al ejecutarse el dropper inicial, se inyecta en procesos legítimos o utiliza técnicas como la creación de entradas en el Registro de Windows (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), tareas programadas (Task Scheduler) o el inicio de servicios para garantizar su persistencia en el sistema reiniciado.
Módulo de Recopilación de Datos (Stealing Core): El núcleo del malware. Contiene sub-módulos específicos para cada objetivo, escaneando rutas de directorio predefinidas en busca de bases de datos, archivos JSON y almacenamiento local de aplicaciones.
Módulo de Evasión y Exfiltración: Implementa técnicas anti-análisis (detección de máquinas virtuales, sandboxes) y cifra la información robada antes de enviarla a un Panel de Comando y Control (C2) mediante peticiones HTTP/HTTPS POST a servidores controlados por los atacantes, a menudo utilizando canales de comunicación como Discord Webhooks, Telegram Bots o servidores FTP.

2. Proceso Detallado de Exfiltración de Datos

El proceso es sistemático y abarca múltiples vectores de información:

a) Ataque a Discord:

El malware se dirige específicamente a la ruta local de Discord (ej. %AppData%\Discord o %LocalAppData%\Discord). Su objetivo principal son los tokens de autenticación, localizados en archivos como Local Storage\leveldb (almacenamiento IndexedDB) o en la memoria de procesos. Estos tokens son cadenas alfanuméricas (por ejemplo, NDA1NzU5NDI3OTE4NjQxODcy.G1aB_C.d34d...) que actúan como "llaves maestras" para la API de Discord. Al robar un token, el atacante puede suplantar la identidad del usuario sin necesidad de credenciales, incluso si la contraseña se cambia posteriormente (hasta que el token sea revocado). Además, extrae información de settings.json y Local State.

b) Exfiltración de Credenciales de Navegadores:

Utiliza la técnica de acceder y descifrar las bases de datos de contraseñas (Login Data de Chrome/Chromium, logins.json de Firefox) que están cifradas con una clave maestra almacenada en el sistema. En Windows, esta clave se guarda en el DPAPI (Data Protection API) del usuario, a la cual el malware, ejecutándose bajo la misma sesión de usuario, puede acceder mediante llamadas a funciones como CryptUnprotectData. Roba:

URLs, nombres de usuario y contraseñas.
Cookies (para mantener sesiones activas).
Tarjetas de crédito almacenadas.
Historial de navegación.

c) Robo de Carteras de Criptomonedas y Archivos Sensibles:

Escanea directorios en busca de software de billeteras (Electrum, Exodus, MetaMask, etc.) y extensiones de navegador relacionadas, buscando archivos de semillas (seed phrases), claves privadas y datos de configuración (wallet.dat, secret_recovery_phrase). También realiza búsquedas extensivas en el sistema de archivos por extensiones específicas (.txt, .doc, .pdf, .jpg) y nombres clave (como "contraseña", "password", "backup"), que envía al atacante.

d) Captura de Información del Sistema:

Recopila metadatos valiosos para el atacante mediante consultas WMI y APIs de Windows:

Nombre de la máquina, usuario, idioma del sistema.
Especificaciones de hardware (CPU, GPU, RAM).
Dirección IP pública y privada, lista de software instalado.
Capturas de pantalla mediante keybd_event y APIs de GDI.

3. Técnicas Avanzadas de Ofuscación, Evasión y C2

Ofuscación de Código: Utiliza ofuscadores como PyArmor (para Python) o ConfuserEx (para .NET) que cifran strings, cambian nombres de variables y agregan código basura para dificultar el análisis estático y evadir firmas de antivirus basadas en patrones.
Anti-Debugging y Anti-Sandbox: Implementa checks para detectar herramientas de análisis (procesos como ProcessHacker, Wireshark, ProcMon), entornos de máquina virtual (VMware, VirtualBox) mediante comprobaciones de hardware, nombres de procesos o tiempos de ejecución anómalos. Si detecta un entorno sospechoso, puede terminar su ejecución o comportarse de manera benigna.
Exfiltración y C2: Los datos robados son estructurados (generalmente en JSON), cifrados (a veces con AES o RSA) y comprimidos. Se envían al servidor C2 mediante peticiones HTTP(S) a URLs específicas. Un método común es el uso de Discord Webhooks, donde el malware publica la información robada en un canal de Discord privado controlado por el atacante, aprovechando la infraestructura legítima de Discord para evadir bloqueos de firewall. Los paneles de control (C2 Panels) permiten a los atacantes gestionar las víctimas, visualizar datos y actualizar el malware.

4. Vectores de Distribución y Ciclo de Ataque

Distribución: Phishing, descargas desde foros, ofertas de software pirateado ("cracks", "keygens"), mensajes directos en redes sociales o Discord con archivos adjuntos (.exe, .scr, .msi), o compromiso de cuentas para propagarse entre contactos.
Ejecución: La víctima ejecuta el dropper.
Descarga/Inyección: Puede descargar componentes adicionales o inyectar código en procesos legítimos.
Recolección: Ejecuta los módulos de robo de datos de forma silenciosa.
Exfiltración: Envía la información robada al C2.
Impacto: El atacante utiliza los tokens, credenciales y archivos para robo de identidad, fraude financiero, reventa de cuentas o ataques posteriores (como ransomware o spear-phishing).

Impacto y consecuencias

1. Impacto Técnico-Inmediato en Sistemas Comprometidos

a) Compromiso Integral de Identidad Digital:

El impacto principal es la sustracción de tokens de sesión, que representa una falla crítica en el modelo de autenticación. Los tokens de Discord (y de otras aplicaciones) robados permiten a los atacantes realizar autenticaciones sin factor (session hijacking) incluso con 2FA habilitado, ya que el token es la prueba de sesión activa. Esto anula por completo los mecanismos de contraseña y 2FA hasta que la víctima detecta la intrusión y revoca manualmente todas las sesiones. Técnicamente, el atacante utiliza el token para autenticar peticiones HTTP directamente a la API de Discord (Authorization: token), pudiendo leer mensajes privados, unirse a servidores, enviar mensajes maliciosos en nombre de la víctima y cambiar configuraciones de la cuenta.

b) Pérdida de Confidencialidad en Cadena (Lateral Credential Exposure):

ACRStealer realiza credential dumping de múltiples vectores simultáneamente:

Navegadores: El robo de cookies de sesión permite el acceso a cuentas de Google, Facebook, GitHub, cuentas corporativas (Microsoft 365, Salesforce) y bancos online si la sesión estaba activa. Las contraseñas descifradas, incluso si no son las actuales, suelen ser reutilizadas, permitiendo ataques de credential stuffing.
Infraestructura de Claves Digitales: La exfiltración de archivos de wallets de criptomonedas (MetaMask vaults, claves privadas) conlleva la transferencia irreversible de activos blockchain. El atacante puede vaciar wallets en segundos, con transacciones imposibles de revertir debido a la naturaleza de la blockchain.
Contexto de Sistema: La información de sistema (IP, geolocalización, nombres de usuario, software instalado) permite fingerprinting avanzado para personalizar ataques futuros (spear-phishing, exploits específicos) o vender estos datos en foros especializados.

c) Integridad y Disponibilidad de Cuentas y Comunidades:

El atacante no solo roba, sino que utiliza activamente los recursos comprometidos:

Abuso de Infraestructura de Discord: Cuentas robadas se convierten en bots para distribuir malware (viajando de víctima a víctima mediante DMs), spammear enlaces maliciosos en servidores públicos y privados (dañando la reputación de la víctima), o realizar raids coordinados. Los webhooks y bots de Discord administrados por la víctima pueden ser secuestrados para exfiltrar datos de sus servidores.
Pérdida de Cuentas Valiosas (OGs, cuentas con nitro, cuentas de desarrollador): Cuentas antiguas (OG) con nombres de usuario cortos o valiosos son vendidas en mercados negros (como Genesis Market o Russian Market) por cientos o miles de dólares. Las cuentas con suscripciones activas (Nitro) son canibalizadas para beneficios inmediatos.

2. Consecuencias Operativas y de Seguridad a Nivel Organizacional

a) Brecha de Seguridad en Entornos Empresariales:

Si el malware compromete una estación de trabajo corporativa, las consecuencias escalan rápidamente:

Acceso a Recursos Internos: Credenciales de navegador pueden dar acceso a portales de intranet, paneles de administración, SaaS corporativo (Slack, Trello, Jira) y código fuente en repositorios (GitLab, GitHub Enterprise). Esto puede derivar en robo de propiedad intelectual.
Punto de Entrada para Ataques Avanzados: El sistema comprometido puede convertirse en un pivot point dentro de la red interna, especialmente si se roban credenciales de VPN o RDP almacenadas. Esto facilita movimientos laterales, escalada de privilegios y la implantación de malware más sofisticado como ransomware o info-stealers orientados a datos financieros.
Incumplimiento Normativo: La exposición de datos personales de empleados o clientes (capturados en archivos) puede violar regulaciones como GDPR, CCPA o HIPAA, generando multas cuantiosas y daño reputacional.

b) Efecto en Cadena en la Economía Cibercriminal:

Los datos robados por ACRStealer alimentan un ecosistema criminal complejo:

Triaje y Clasificación Automática: Los paneles C2 (como Lunar Panel o WhiteUI) categorizan automáticamente los datos: tokens Discord, cookies de navegadores, wallets, etc.
Mercados de Acceso Inicial (Initial Access Brokers - IABs): Las credenciales de acceso a sistemas corporativos o cuentas privilegiadas se venden a otros criminales para ataques más dirigidos.
Fraude Financiero Directo: Tarjetas de crédito robadas se prueban en comercios online (carding) o se venden en lotes. Las cuentas de criptomonedas se vacían y los fondos son lavados mediante mixers o intercambios no KYC.
Suplantación de Identidad (Identity Theft): Con nombres, emails y datos personales, los criminales pueden solicitar créditos, abrir cuentas bancarias o realizar phishing personalizado a contactos de la víctima.

3. Impacto Psicosocial y Costos de Remediation

a) Daño a la Confianza Digital y Salud Comunitaria:

En comunidades como Discord, el robo masivo de cuentas genera desconfianza sistémica. Los usuarios dudan de enlaces, archivos e incluso mensajes de amigos legítimos. Los administradores de servidores deben implementar políticas de seguridad estrictas (niveles de verificación, restricciones de enlaces), lo que dificulta la dinámica comunitaria. Las víctimas sufren ansiedad, frustración y sensación de violación, especialmente si pierden cuentas con años de historia o conexiones sociales.

b) Costo Técnico y Temporal de la Remediation:

La recuperación no es simplemente cambiar una contraseña:

Análisis Forense Básico: Identificar el vector de infección (¿qué archivo se ejecutó?), determinar el alcance (¿qué cuentas/cookies fueron robadas?).
Revocación Completa: Revocar todos los tokens de sesión en cada servicio afectado (Discord, Google, etc.), revisar y eliminar aplicaciones de terceros autorizadas (OAuth) que podrían haber sido manipuladas.
Limpieza Profunda del Sistema: No basta con eliminar el ejecutable. Requiere escaneo con múltiples herramientas antimalware (Malwarebytes, HitmanPro), verificación de persistencia en registro y tareas programadas, y a menudo, el formateo y reinstalación limpia del sistema operativo para garantizar la erradicación, especialmente si se detectaron backdoors.
Recuperación de Cuentas: Procesos lentos con soporte técnico, donde la prueba de propiedad puede ser compleja si el atacante cambió el email de recuperación. La recuperación de fondos de criptomonedas es prácticamente imposible.
Monitoreo Continuo: Las víctimas deben monitorizar sus cuentas financieras y servicios por actividad fraudulenta durante meses, y considerar servicios de monitoreo de dark web para sus credenciales.

Origen y motivación

ACRStealer surge como una evolución especializada dentro del ecosistema de malware info-stealer, desarrollado principalmente por actores de amenazas de habla rusa y ucraniana que operan en foros clandestinos como Exploit.in y XSS.is. Su motivación central es económica y de bajo riesgo, diseñado para robar y monetizar masivamente activos digitales de alto valor en el mercado negro, específicamente enfocado en tokens de Discord, credenciales de cuentas premium (OG/Nitro), cookies de sesión y wallets de criptomonedas. Al aprovechar la arquitectura de Discord como vector de distribución y exfiltración (vía webhooks), los operadores buscan maximizar el retorno de inversión (ROI) con un desarrollo técnico relativamente sencillo pero altamente efectivo, vendiendo el malware como Malware-as-a-Service (MaaS) a actores menos técnicos o utilizando los datos robados para fraudes directos, reventa de cuentas en mercados como Genesis Market y Russian Market, y como puerta de entrada para ataques más avanzados como ransomware o spear-phishing, reflejando la industrialización del cibercrimen donde la especialización y la eficiencia impulsan la proliferación de estas amenazas focalizadas.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.