دودة WhatsApp تنشر خائناً يستهدف التطبيقات المشفرة البرازيلية، وبيانات الاعتماد المالية
- تنتشر دودة واتساب في البرازيل، وهي عبارة عن برنامج خبيث مبني بلغة بايثون يسرق بيانات الدخول المصرفية والعملات الرقمية.
- يستولي هذا البرنامج الضار على جهات اتصال واتساب، ويؤتمت إرسال الرسائل، وينشر أداة سرقة Eternidade عبر سلسلة عدوانية متعددة المراحل.
- تستهدف الحملة أنظمة اللغة البرتغالية البرازيلية، مستخدمةً تحديد الموقع الجغرافي، وتحديثات الخادم-العميل القائمة على IMAP، وطبقات مالية محلية.
دودة تنتشر عبر WhatsApp تصيب الأجهزة في البرازيل، وتسلم خائناً مصرفياً يُدعى Eternidade (بالبرتغالية تعني الأبدية) Stealer يسرق بيانات الاعتماد لمحافظ العملات المشفرة والخدمات المالية.
وفقاً لنتائج الباحثين Nathaniel Morales وJohn Basmayor وNikita Kazymirskyi من شركة أمان Web3 SpiderLabs، تستخدم العملية بروتوكول الوصول إلى رسائل الإنترنت لجلب تفاصيل القيادة والتحكم عند الطلب. يمكن أن تساعد البيانات المسروقة فاعل التهديد في تدوير الخوادم وتجنب التعطيل أثناء انتشار البرمجيات الخبيثة.
"يستخدم بروتوكول الوصول إلى رسائل الإنترنت (IMAP) لاسترداد عناوين القيادة والتحكم (C2) بشكل ديناميكي، مما يسمح لفاعل التهديد بتحديث خادم C2 الخاص به"، كتب المحترفون في الأمن في صفحة مدونة الشركة يوم الأربعاء.
قال المحققون إن المهاجمين تخلوا عن سكريبتات PowerShell القديمة وهم الآن ينشرون نهجاً قائماً على Python لـ اختطاف WhatsApp وتوزيع ملفات ضارة.
يخفي خائن Eternidade النشاط من خلال VBScript
وفقاً لتقرير Trustwave SpiderLabs، يبدأ الهجوم بـ VBScript مشفر تكون تعليقاته مكتوبة في الغالب بالبرتغالية.
تستخدم دودة Python كوداً أقصر وأكثر رشاقة لأتمتة نشاط WhatsApp لاستخراج قوائم جهات الاتصال الكاملة باستخدام مكتبات wppconnect، وتحيات مخصصة بناءً على وقت اليوم، وإدراج أسماء المستلمين في الرسائل التي تحتوي على مرفقات ضارة.
تتيح وظيفة مركزية، تسمى "obter_contatos"، للبرمجيات الخبيثة سرقة دليل عناوين WhatsApp بأكمله للضحية. بالنسبة لكل جهة اتصال، تجمع الدودة رقم الهاتف والاسم لمعرفة ما إذا كان الشخص محفوظاً محلياً ولديه جهاز يمكن اختراقه.
يتم نقل البيانات إلى خادم يتحكم فيه المهاجم من خلال طلب HTTP POST، حيث بعد الجمع، ترسل الدودة مرفقاً ضالاً إلى كل جهة اتصال باستخدام قالب رسالة جاهز.
مثبت MSI ينشر خائناً مصرفياً محلياً
تبدأ المرحلة الثانية من الهجوم بمجرد أن يترك مثبت MSI عدة مكونات، بما في ذلك سكريبت AutoIt الذي يتحقق فوراً مما إذا كانت لغة الجهاز مضبوطة على البرتغالية البرازيلية.
في الحالات التي لا تستوفي فيها النظام هذا الشرط، تتوقف البرمجيات الخبيثة، مما قد يعني أن فاعلي التهديد ينوون استهداف المستخدمين في البرازيل فقط.
عندما يمر فحص المنطقة الزمنية، يفحص السكريبت العمليات المسجلة ومفاتيح التسجيل بحثاً عن علامات على أدوات الأمان. كما يقوم بتحديد ملف تعريف الجهاز ويرسل تفاصيل النظام إلى خادم القيادة والتحكم الخاص بالمهاجمين.
ينتهي الهجوم بحقن حمولة خائن Eternidade Stealer في "svchost.exe" باستخدام عملية تخفي الكود الضار داخل عمليات Windows المشروعة، والمعروفة باسم "التجويف".
يراقب خائن Eternidade Stealer باستمرار النوافذ والعمليات النشطة بحثاً عن سلاسل تتعلق بالخدمات المالية، بما في ذلك بعض أكبر البنوك في البرازيل ومنصات التكنولوجيا المالية الدولية.
تشمل بعض الشركات المالية التي ذكرتها Trustwave Santander وBanco do Brasil وBMG وSicredi وBradesco وBTG Pactual وMercadoPago وStripe، بالإضافة إلى شركات العملات المشفرة Binance وCoinbase وMetaMask وTrust Wallet.
تظل البرمجيات الخبيثة المصرفية البرازيلية خاملة في الغالب حتى يفتح الضحية أحد التطبيقات المالية. ثم تقوم بتشغيل طبقات التراكب أو إجراءات جمع بيانات الاعتماد بينما تكون غير مرئية تماماً للمستخدمين العاديين أو أدوات تحليل الأمان الآلية.
تقييد البرمجيات الخبيثة الجغرافي يحد من الهجمات على مستخدمي WhatsApp البرازيليين
شاركت Trustwave SpiderLabs أيضاً إحصائيات اللوحة، والتي كشفت أن البرمجيات الخبيثة تقيد الوصول إلى الأنظمة خارج البرازيل والأرجنتين. من بين 454 محاولة اتصال مسجلة، تم حظر 452 بسبب قواعد تحديد الموقع الجغرافي. تم السماح فقط باتصالين وإعادة توجيههما إلى النطاق الضار الحقيقي، وتمت إعادة توجيه المحاولات المحظورة إلى صفحة خطأ مؤقتة.
من بين محاولات الاتصال الفاشلة، جاء 196 محاولة من الولايات المتحدة، تليها هولندا وألمانيا والمملكة المتحدة وفرنسا. شكلت أنظمة ويندوز الحصة الأكبر من محاولات الاتصال بالنظام بـ 115 محاولة، على الرغم من تضمين السجلات أيضًا 94 اتصالًا على نظام macOS، و45 على نظام Linux، و18 جهازًا يعمل بنظام أندرويد.
يأتي الاكتشاف بعد أسابيع من العثور على Trustwave على عملية أخرى تُدعى "Water Saci" تنتشر عبر WhatsApp Web باستخدام دودة تسمى SORVEPOTEL. هذه البرمجيات الخبيثة هي قناة لـ Maverick، وهو خائن مصرفي قائم على NET جاء من عائلة سابقة معروفة باسم Coyote، كما أفادت Cryptopolitan الأسبوع الماضي.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
