Maverick-Malware übernimmt WhatsApp Web
Foto von Dimitri Karastelev auf Unsplash.
- Cybersecurity-Forscher decken die Verbreitung der Maverick-Malware über WhatsApp Web auf, die brasilianische Nutzer mit Banking-Trojans und Würmern angreift.
- Die Malware nutzt VBScript, PowerShell und Browser-Automatisierung, um Konten zu übernehmen, Zugangsdaten zu stehlen und bösartige ZIP-Dateien zu verbreiten.
- Maverick verfügt über geografische Prüfungen, eine Remote-Befehls-und-Kontrollstruktur sowie Stealth-Techniken, die es Angreifern ermöglichen, Infektionen wie ein Botnetz zu verwalten.
Cybersecurity-Firmen wie CyberProof, Trend Micro, Sophos und Kaspersky gehen davon aus, dass Maverick-Angriffe auf WhatsApp-Web-Nutzer Visual Basic Script und PowerShell in Kombination mit Browser-Automatisierung nutzen, um Konten zu übernehmen und bösartige ZIP-Archive an Kontakte zu senden.
Das SOC-Team von CyberProof untersuchte einen Vorfall, bei dem eine verdächtige Datei über die Weboberfläche von WhatsApp heruntergeladen wurde. Die Datei war ein ZIP-Archiv mit dem Namen NEW-20251001_152441-PED_561BCF01.zip.
Sie haben die Hashes SHA1 aa29bc5cf8eaf5435a981025a73665b16abb294e und SHA256 949be42310b64320421d5fd6c41f83809e8333825fb936f25530a125664221de wiederhergestellt. Wenn Opfer einen Verknüpfungsdatei (LNK) innerhalb des Archivs ausführen, wird der Code entschlüsselt, um cmd oder PowerShell zu starten; diese Befehle kontaktieren dann einen Server des Angreifers, um das erste Payload-Stadium abzurufen.
Maverick-Malware-Loader, getarnt durch klassische Verschleierung
Laut einem Blogbeitrag des CyberProof-Forschungsteams, der letzten Montag veröffentlicht wurde, kombiniert der Loader Split-Tokens mit Base64- und UTF‑16LE-kodiertem PowerShell. Er prüft auf Reverse-Engineering-Tools und beendet sich selbst, falls Analysten erkannt werden. Andernfalls lädt er einen Wurm namens SORVEPOTEL und einen Banking-Trojaner namens Maverick herunter.
Trend Micro hat Maverick, den Banking-Trojaner, der Webaktivitäten überwacht, Anfang letzten Monats erstmals dokumentiert und ihn einer Gruppe zugeordnet, die sie Water Saci nennt. SORVEPOTEL ist ein sich selbst verbreitender Malware, der sich über verbreitet WhatsApp Web indem es das ZIP-Archiv liefert, das den bösartigen Code enthält.
Maverick durchsucht aktive Browser-Tabs nach URLs, die mit einer fest codierten Liste lateinamerikanischer Finanzinstitute aus Brasilien übereinstimmen. Bei einem Treffer ruft der Trojaner Folgebefehle von einem Remote-Server ab und fordert Systemdaten an, um Phishing-Seiten zu versenden, die darauf ausgelegt sind, Zugangsdaten zu stehlen.
Das Sicherheitsteam des Antivirensoftware-Anbieters Kaspersky entdeckte mehrere Code-Überschneidungen zwischen Maverick und einer älteren Banking-Malware namens Coyote. Der britische Sicherheitssoftware-Hersteller Sophos verwies auf die Möglichkeit, dass Maverick eine Weiterentwicklung von Coyote ist, während Kaspersky Maverick als eigenständige Bedrohung für in Brasilien ansässige WhatsApp-Web-Nutzer einstuft.
Wie Maverick WhatsApp Web kapert
Die Forschung von CyberProof stellte fest, dass die Kampagne .NET-Binaries vermeidet und stattdessen VBScript und PowerShell einsetzt. Das ZIP-Archiv enthält einen verschlüsselten VBScript-Downloader namens Orcamento.vbs, den Forscher mit SORVEPOTEL in Verbindung bringen.
Das VBScript führt einen PowerShell-Befehl aus, der tadeu.ps1 direkt im Speicher ausführt, während das PowerShell-Payload Chrome über ChromeDriver und Selenium automatisiert. Es übernimmt die WhatsApp-Web-Sitzung des Opfers und verteilt die bösartige ZIP-Datei an alle Kontakte.
Die Malware beendet alle laufenden Chrome-Prozesse und kopiert das legitime Chrome-Profil in einen temporären Arbeitsbereich, bevor sie Nachrichten sendet.
„Diese Daten umfassen Cookies, Authentifizierungstokens und die gespeicherte Browsersitzung. Dies ermöglicht es der Malware, die Authentifizierung von WhatsApp Web zu umgehen und Hackern sofortigen Zugriff auf das WhatsApp-Konto des Opfers zu verschaffen, ohne dass Sicherheitswarnungen oder eine QR-Code-Scanning erforderlich sind
Das Skript zeigt nach der Übernahme der Web-App einen irreführenden Banner mit der Bezeichnung „WhatsApp Automation v6.0“, um seine laufenden Operations-Aktivitäten zu verbergen. Der PowerShell-Code ruft Nachrichtenvorlagen von einem Command-and-Control-Server (C2) ab und extrahiert die Kontaktliste des Opfers.
Die Propagierungsschleife iteriert durch jeden gesammelten Kontakt, bevor jede Nachricht gesendet wird, und prüft nach, ob der C2 einen Pause-Befehl ausgegeben hat. Nachrichten werden personalisiert, indem Variablen durch zeitbasierte Grüße und Kontaktnamen ersetzt werden.
Trend Micro bemerkte Die Kampagne nutzt eine ausgefeilte Remote-C2-Infrastruktur, die Echtzeit-Management ermöglicht. Operateure können die Ausbreitung pausieren, fortsetzen und überwachen, um koordinierte Operationen auf infizierten Hosts durchzuführen.
Maverick Malware wird erst nach Bestätigung eingesetzt, dass sich der Client in Brasilien befindet
Cyberproof und Trend Micro bestätigten, dass Maverick erst installiert wird, nachdem bestätigt wurde, dass sich der Host in Brasilien befindet, indem Zeitzone, Sprache, Systemregion sowie Datums- und Uhrzeitformat geprüft werden. Das zweite Unternehmen stellte zudem fest, dass die Kette die Ausführung auf Systeme mit portugiesischer Sprache beschränkt.
Laut dem Bericht von Trend Micro umfasst die C2-Infrastruktur E-Mail-basierte Kanäle, was zur Redundanz beiträgt und die Erkennung erschwert. CyberProof fand zudem Hinweise darauf, dass die Malware gezielt Hotels in Brasilien ins Visier nahm. Die Sicherheitsfirmen befürchten, dass der Akteur seine Ziele auf die Hotellerie ausweiten könnte, die häufig von hochkarätigen Zielpersonen frequentiert wird.
VirusTotal-Suchen halfen dem Team, verwandte Proben zu sammeln und ihre Erkenntnisse mit öffentlichen Forschungsarbeiten von Kaspersky, Sophos und Trend Micro zu verknüpfen. Die Incident-Analyse der Sicherheitsfirma CyberProof ergab jedoch, dass die vollständige Infektionskette nicht beobachtet werden konnte, da Dateien vom C2 während der Untersuchung nicht geliefert wurden.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
