Los mejores análisis sobre criptomonedas directamente en tu bandeja de entrada.
Un troyano brasileño secuestra WhatsApp para propagar el phishing de criptomonedas
- TCLBANKER es un troyano bancario brasileño que monitoriza 59 dominios bancarios y de criptomonedas.
- El malware se propaga secuestrando las sesiones de WhatsApp Web y las cuentas de Outlook de las víctimas para enviar mensajes de phishing a sus contactos.
- Los usuarios brasileños de criptomonedas y tecnología financiera son el público objetivo principal.
Investigadores de seguridad de Elastic Security Labs han descubierto un nuevo troyano bancario brasileño llamado TCLBANKER. Al infectar un equipo, toma el control de las cuentas de WhatsApp y Outlook de la víctima y envía mensajes de phishing a sus contactos.
La campaña está etiquetada como REF3076. Basándose en patrones comunes de infraestructura y código, los investigadores han vinculado TCLBANKER con la familia de malware previamente conocida MAVERICK/SORVEPOTEL.
El troyano se propaga a través de un generador de mensajes de IA
Elastic Security Labs Según , el malware se presenta como un instalador troyanizado para Logi AI Prompt Builder, una aplicación legítima de Logitech firmada. El instalador viene en un archivo ZIP y utiliza la carga lateral de DLL para ejecutar un archivo malicioso que se asemeja a un complemento de Flutter.
Una vez cargado, el troyano despliega dos cargas útiles protegidas por .NET Reactor. Una es un módulo bancario y la otra es un módulo de gusano diseñado para autopropagarse.
Tras su carga, el troyano despliega dos cargas útiles protegidas por .NET Reactor. Una es un módulo bancario y la otra es un módulo de gusano que puede propagarse.
Los controles antianálisis bloquean a los investigadores
La huella digital que genera el cargador de TCLBANKER se compone de tres partes.
- Comprobaciones anti-depuración.
- Información sobre el disco y la memoria.
- Configuración de idioma.
La huella digital genera las claves de descifrado para la carga útil incrustada. Si algo parece estar mal, como un depurador conectado, un entorno aislado o poco espacio en disco, el descifrado produce datos basura y el malware se detiene silenciosamente.
El cargador también modifica las funciones de telemetría de Windows para ocultar las herramientas de seguridad. Crea enlaces de llamadas al sistema directos para evitar los ganchos en modo de usuario.
Un sistema de vigilancia busca constantemente software de análisis como x64dbg, Ghidra, dnSpy, IDA Pro, Process Hacker y Frida. Si se detecta alguna de estas herramientas, la carga útil deja de funcionar.
El módulo bancario se activa solo en ordenadores brasileños
El módulo bancario se activa en ordenadores ubicados en Brasil. Se realizan al menos dos comprobaciones de geolocalización que analizan el código de región, la zona horaria, la configuración regional del sistema y la distribución del teclado.
El malware lee la barra de direcciones del navegador activo mediante la automatización de la interfaz de usuario de Windows. Funciona en numerosos navegadores como Chrome, Firefox, Edge, Brave, Opera y Vivaldi, y monitoriza las URL activas cada segundo.
El malware compara la URL con una lista de 59 URL cifradas. Esta lista contiene enlaces a sitios web de criptomonedas, bancos y empresas fintech en Brasil.
Cuando una víctima visita uno de los sitios web objetivo, el malware abre una conexión WebSocket con un servidor remoto. De esta forma, el pirata informático obtiene el control remoto total del ordenador.
Una vez que se concede el acceso, el hacker utiliza una superposición que coloca una ventana sin bordes en la parte superior de cada monitor. Esta superposición no es visible en las capturas de pantalla y las víctimas no pueden compartir lo que ven con otras personas.
La superposición del hacker tiene tres plantillas:
- Un formulario de recolección dedentcon un número de teléfono brasileño falso.
- Una pantalla de progreso falsa de actualización de Windows.
- Una "pantalla de espera de vishing" que mantiene ocupadas a las víctimas.
Bots maliciosos propagan el troyano brasileño en WhatsApp y Outlook
La segunda carga útil propaga TCLBANKER a nuevas víctimas de dos maneras:
- Aplicación web de WhatsApp.
- Bandejas de entrada/cuentas de Outlook.
El bot de WhatsApp busca sesiones activas de WhatsApp Web en navegadores basados en Chromium localizando los directorios de la base de datos local de la aplicación.
El bot clona el perfil del navegador y luego inicia una instancia de Chromium sin interfaz gráfica. Según Wikipedia, un navegador sin interfaz gráfica es un navegador web sin interfaz gráfica de usuario. A continuación, inyecta JavaScript para eludir la detección de bots y recopila los contactos de la víctima.
Finalmente, el bot envía mensajes de phishing que contienen el instalador TCLBANKER a los contactos de la víctima.
El bot de Outlook se conecta mediante la automatización del Modelo de Objetos Componentes (COM). La automatización COM permite que un programa controle a otro.
El bot obtiene las direcciones de correo electrónico de la carpeta de Contactos y del historial de la bandeja de entrada, y luego envía correos electrónicos de phishing utilizando la cuenta de la víctima.
Los correos electrónicos tienen como asunto “NFe disponível para impressão”, que significa “Facturatrondisponible para imprimir”. El enlace redirige a un dominio de phishing que suplanta la identidad de una plataforma ERP brasileña.
Dado que los correos electrónicos se envían desde cuentas reales, es más probable que eludan los filtros de spam.
La semana pasada, Cryptopolitan informó que los investigadores identificarondentcuatro troyanos para Android más de 800 aplicaciones de criptomonedas, banca y redes sociales con superposiciones de inicio de sesión falsas.
En otro informe, un programa malicioso llamado StepDrainer ha estado vaciando monederos en más de 20 redes blockchain utilizando interfaces de conexión de monederos Web3 falsas.
Las mentes más brillantes del mundo de las criptomonedas ya leen nuestro boletín. ¿Te apuntas? ¡ Únete!
Preguntas frecuentes
¿Qué es TCLBANKER y cómo se difunde?
TCLBANKER es un troyano bancario brasileño que se distribuye a través de un instalador de Logitech infectado. Secuestra las sesiones de WhatsApp Web y las cuentas de correo electrónico de Outlook de las víctimas para enviar mensajes de phishing a sus contactos.
¿A qué plataformas de criptomonedas se dirige TCLBANKER?
El troyano monitoriza una lista cifrada de 59 dominios brasileños de banca, tecnología financiera y criptomonedas. Activa una sesión de control remoto cuando la víctima visita cualquiera de esos sitios en su navegador.
¿Cómo logra TCLBANKER evitar ser detectado por los investigadores de seguridad?
El malware genera una huella digital del entorno a partir de las comprobaciones anti-depuración, el hardware del sistema y la configuración de idioma, y luego utiliza esa huella digital para descifrar su carga útil. Si alguna comprobación falla, la carga útil nunca se descifra y la ejecución se detiene silenciosamente.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitande no se responsabiliza de las inversiones realizadas con base en la información de esta página. Recomendamostrondentdentdentdentdentdentdentdent inversión.
CURSO
- ¿Qué criptomonedas pueden hacerte ganar dinero?
- Cómo mejorar tu seguridad con una billetera (y cuáles realmente vale la pena usar)
- Estrategias de inversión poco conocidas que utilizan los profesionales
- Cómo empezar a invertir en criptomonedas (qué plataformas de intercambio usar, las mejores criptomonedas para comprar, etc.)