”Acreed “ est un logiciel espion (infostealer), apparu en février 2025, connaît une croissance rapide sur les forums cybercriminels. Suite au démantèlement de Lumma en mai 2025, “Acreed “ s’est imposé comme le troisième infostealer le plus actif sur le marché clandestin, représentant environ 17 % de la part de marché, derrière « Rhadamanthys et Lumma ».

Les campagnes de diffusion d’”Acreed “ reposent principalement sur des courriels de phishing contenant des pièces jointes ou des liens malveillants conçus pour inciter l’utilisateur à exécuter du code malicieux. Elles s’appuient également sur des publicités compromises (malvertising) redirigeant vers des sites piégés, ainsi que sur la distribution de logiciels légitimes modifiés ou de versions piratées diffusées via des plateformes de téléchargement non officielles. Ces vecteurs combinés permettent aux attaquants d’élargir rapidement leur surface d’infection et de cibler aussi bien des particuliers que des environnements professionnels.

Une fois exécuté sur un système compromis, “Acreed “ procède à :

• La collecte d’informations système (noms d’utilisateur, adresses IP, configuration de la machine),

• Le vol de données de navigateurs web (cookies, mots de passe enregistrés, historiques),

• L’exfiltration d’informations de portefeuilles de cryptomonnaies,

• Le vol de jetons de session liés à des services cloud tels que « Microsoft 365 et AWS ».

Les données volées sont transmises vers un serveur de commande et de contrôle (C2) contrôlé par les attaquants.

Le maCERT/DGSSI recommande d’appliquer les mesures préventives ci-dessous et de l’alerter en cas de détection d’une activité relative à ce groupe via « incident@macert.gov.ma ». 

Mesures préventives :

• Intégrer les indicateurs de compromission (IOCs) ci-dessous au niveau des moyens de détection.
• Surveiller les connexions HTTP/HTTPS afin de détecter les communications suspectes et les comportements anormaux. 
• Mettre à jour les solutions EDR/AV avec les dernières signatures.
• Analyser les logs d’authentification pour repérer toute activité anormale depuis des comptes compromis. 

Indicateurs de compromission (IOCs):

IP adresses: 

Domain Name: 

Hash: