WhatsApp-Wurm verbreitet Trojaner, der brasilianische Krypto-Apps und Finanzdaten angreift
- Ein WhatsApp-Wurm in Brasilien verbreitet einen auf Python basierenden Trojaner, der Banking- und Krypto-Zugangsdaten stiehlt.
- Die Malware übernimmt WhatsApp-Kontakte, automatisiert Nachrichten und setzt den Eternidade Stealer über eine mehrstufige Infektionskette ein.
- Die Kampagne zielt auf Systeme in brasilianischem Portugiesisch ab, nutzt Geofencing, IMAP-basierte C2-Updates und lokalisierte Finanz-Overlays.
Ein neuer, sich über WhatsApp verbreitender Wurm infiziert Geräte in Brasilien und liefert einen Banking-Trojaner namens Eternidade (portugiesisch für Ewigkeit) Stealer, der Anmeldeinformationen für Krypto-Wallets und Finanzdienste stiehlt.
Laut den Ergebnissen der Web3-Sicherheitsfirma Trustwave SpiderLabs-Forscher Nathaniel Morales, John Basmayor und Nikita Kazymirskyi nutzt die Operation Internet Message Access Protocol, um Command-and-Control-Details auf Abruf abzurufen. Die gestohlenen Daten können einem Bedrohungsakteur helfen, Server zu rotieren und Störungen zu entgehen, während sich die Malware ausbreitet.
„Es verwendet Internet Message Access Protocol (IMAP), um dynamisch Command-and-Control (C2)-Adressen abzurufen, was es dem Bedrohungsakteur ermöglicht, seinen C2-Server zu aktualisieren“, schrieben die Sicherheitsexperten in dem Blog der Firma am Mittwoch.
Ermittler sagten, die Angreifer hätten ältere PowerShell-Skripte aufgegeben und setzen jetzt einen auf Python basierenden Ansatz ein, um WhatsApp zu übernehmen und schädliche Dateien zu verteilen.
Eternidade Stealer verbirgt Aktivitäten durch VBScript
Laut einem Bericht von Trustwave SpiderLabs beginnt der Angriff mit einem verschleierten VBScript, dessen Kommentare größtenteils auf Portugiesisch verfasst sind.
Der Python-Wurm verwendet kürzeren, agileren Code, um WhatsApp-Aktivitäten zu automatisieren, vollständige Kontaktlisten mithilfe der wppconnect-Bibliotheken zu extrahieren, zeitbasierte Grüße einzufügen und die Namen der Empfänger in Nachrichten mit schädlichen Anhängen zu integrieren.
Eine zentrale Funktion namens „obter_contatos“ ermöglicht es der Malware, das gesamte WhatsApp-Adressbuch des Opfers zu stehlen. Für jeden Kontakt sammelt der Wurm die Telefonnummer und den Namen, um herauszufinden, ob die Person lokal gespeichert ist und ein Gerät besitzt, das angegriffen werden kann.
Die Daten werden über eine HTTP-POST-Anfrage an einen vom Angreifer kontrollierten Server übertragen, woraufhin der Wurm nach der Datensammlung unter Verwendung einer vordefinierten Nachrichtenvorlage eine schädliche Anlage an jeden Kontakt sendet.
MSI-Installer setzt lokalisierten Banking-Trojaner ein
Die zweite Phase des Angriffs beginnt, sobald der MSI-Installer mehrere Komponenten ablegt, darunter ein AutoIt-Skript, das sofort prüft, ob die Gerätesprache auf Brasilianisches Portugiesisch eingestellt ist.
Falls das System diese Bedingung nicht erfüllt, schaltet sich die Malware ab, was darauf hindeuten könnte, dass die Bedrohungsakteure ausschließlich Nutzer in Brasilien ins Visier nehmen.
Wenn die Lokalisierungsprüfung erfolgreich ist, scannt das Skript laufende Prozesse und Registry-Schlüssel nach Anzeichen von Sicherheitstools. Zudem wird das Gerät profiliert und Systemdetails an den Command-and-Control-Server der Angreifer gesendet.
Der Angriff endet damit, dass die Malware das Eternidade-Stealer-Payload in „svchost.exe“ injiziert. Dabei wird ein Verfahren namens „Hollowing“ angewendet, bei dem schädlicher Code in legitime Windows-Prozesse eingebettet wird, um ihn zu tarnen.
Eternidade Stealer überwacht kontinuierlich aktive Fenster und Prozesse nach Strings, die mit Finanzdienstleistungen zusammenhängen, darunter einige der größten Banken Brasiliens und internationale Fintech-Plattformen.
Zu den von Trustwave genannten Finanzunternehmen gehören Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago und Stripe sowie Kryptounternehmen wie Binance, Coinbase, MetaMask und Trust Wallet.
Brasilianische Banking-Trojaner bleiben meist inaktiv, bis das Opfer eine der Finanzanwendungen öffnet. Anschließend werden Overlays oder Routinen zur Erfassung von Zugangsdaten ausgelöst, die für normale Nutzer oder automatisierte Sicherheitsanalyse-Tools vollständig unsichtbar bleiben.
Malware-Geofencing beschränkt Angriffe auf brasilianische WhatsApp-Nutzer
Trustwave SpiderLabs teilte auch Statistiken aus dem Panel mit, die zeigten, dass die Malware den Zugriff auf Systeme außerhalb Brasiliens und Argentiniens einschränkt. Von 454 aufgezeichneten Kommunikationsversuchen wurden 452 aufgrund von Geofencing-Regeln blockiert. Nur zwei Verbindungen wurden zugelassen und auf die echte schädliche Domain umgeleitet, während blockierte Versuche auf eine Platzhalter-Fehlerseite weitergeleitet wurden.
Von den fehlgeschlagenen Verbindungsversuchen stammten 196 aus den Vereinigten Staaten, gefolgt von den Niederlanden, Deutschland, dem Vereinigten Königreich und Frankreich. Windows machte den größten Anteil der versuchten Systemverbindungen aus mit 115, wobei die Protokolle auch 94 Verbindungen unter macOS, 45 unter Linux und 18 Android-Geräte umfassten.
Die Entdeckung erfolgt Wochen nachdem Trustwave eine andere Operation namens „Water Saci“ fand, die sich über WhatsApp Web mit einem Wurm namens SORVEPOTEL verbreitete. Diese Malware ist ein Durchgang für Maverick, einen NET-basierten Banking-Trojaner, der aus einer früheren Familie namens Coyote stammt, wie Cryptopolitan letzte Woche berichtete.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
