El gusano de WhatsApp propaga un troyano que apunta a aplicaciones cripto brasileñas y credenciales financieras
- Un gusano de WhatsApp en Brasil está propagando un troyano basado en Python que roba credenciales bancarias y cripto.
- El malware secuestra contactos de WhatsApp, automatiza mensajes y despliega el Eternidade Stealer mediante una cadena de infección de múltiples etapas.
- La campaña apunta a sistemas en portugués brasileño, utilizando geovallado, actualizaciones C2 basadas en IMAP y superposiciones financieras localizadas.
Un nuevo gusano que se propaga a través de WhatsApp está infectando dispositivos en Brasil, entregando un troyano bancario llamado Eternidade (en portugués, Eternidad) Stealer que roba credenciales de billeteras de criptomonedas y servicios financieros.
Según los hallazgos de los investigadores Nathaniel Morales, John Basmayor y Nikita Kazymirskyi de la firma de seguridad Web3 Trustwave SpiderLabs, la operación utiliza el Protocolo de Acceso a Mensajes de Internet para obtener detalles de comando y control bajo demanda. Los datos robados pueden ayudar a un actor de la amenaza a rotar servidores y evadir la interrupción a medida que se propaga el malware.
“Utiliza el Protocolo de Acceso a Mensajes de Internet (IMAP) para recuperar dinámicamente las direcciones de comando y control (C2), lo que permite al actor de la amenaza actualizar su servidor C2”, escribieron los profesionales de la seguridad en la página de blog de la empresa el miércoles.
Los investigadores dijeron que los atacantes abandonaron los scripts PowerShell más antiguos y ahora están desplegando un enfoque basado en Python para secuestrar WhatsApp y distribuir archivos maliciosos.
El stalker Eternidade oculta la actividad a través de VBScript
Según el informe de Trustwave SpiderLabs, el ataque comienza con un VBScript ofuscado cuyos comentarios están escritos principalmente en portugués.
El gusano de Python utiliza código más corto y ágil para automatizar la actividad de WhatsApp, extrayendo listas completas de contactos utilizando bibliotecas wppconnect, saludos personalizados basados en la hora del día e insertando los nombres de los destinatarios en mensajes que contienen archivos adjuntos maliciosos.
Una función central, llamada “obter_contatos”, permite al malware robar todo el libro de direcciones de WhatsApp de la víctima. Para cada contacto, el gusano recopila el número de teléfono y el nombre para averiguar si la persona está guardada localmente y tiene un dispositivo que puede ser vulnerado.
Los datos se transmiten a un servidor controlado por el atacante a través de una solicitud HTTP POST, donde después de la recopilación, un gusano envía un archivo adjunto malicioso a cada contacto utilizando una plantilla de mensaje preconstruida.
El instalador MSI despliega un troyano bancario localizado
La segunda etapa del ataque comienza una vez que el instalador MSI descarga varios componentes, incluido un script de AutoIt que verifica inmediatamente si el idioma del dispositivo está configurado en portugués de Brasil.
En los casos en que el sistema no cumple con esta condición, el malware se apaga, lo que podría significar que los actores de la amenaza tienen la intención de dirigirse solo a usuarios en Brasil.
Cuando la verificación de la configuración regional pasa, el script escanea los procesos en ejecución y las claves del registro en busca de signos de herramientas de seguridad. También perfila el dispositivo y envía los detalles del sistema de vuelta al servidor de comando y control de los atacantes.
El ataque finaliza con la inyección de la carga útil de Eternidade Stealer en “svchost.exe” mediante un proceso que oculta el código malicioso dentro de procesos legítimos de Windows, conocido como “hollowing” (hollowing de procesos).
Eternidade Stealer monitorea continuamente las ventanas y procesos activos en busca de cadenas relacionadas con servicios financieros, incluidas algunos de los bancos más grandes de Brasil y plataformas fintech internacionales.
Algunas de las firmas financieras mencionadas por Trustwave incluyen Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago, Stripe, junto con empresas de criptomonedas como Binance, Coinbase, MetaMask y Trust Wallet.
Los troyanos bancarios brasileños permanecen mayoritariamente inactivos hasta que la víctima abre una de las aplicaciones financieras. Luego, activa superposiciones o rutinas de recolección de credenciales mientras permanece completamente invisible para los usuarios casuales o las herramientas automatizadas de análisis de seguridad.
El geofencing del malware limita los ataques a los usuarios brasileños de WhatsApp
Trustwave SpiderLabs también compartió estadísticas del panel, que revelaron que el malware restringe el acceso a sistemas fuera de Brasil y Argentina. De 454 intentos de comunicación registrados, 452 fueron bloqueados debido a las reglas de geofencing. Solo se permitieron y redirigieron dos conexiones al dominio malicioso real, y los intentos bloqueados se redirigieron a una página de error de marcador de posición.
De los intentos de conexión fallidos, 196 provenían de Estados Unidos, seguidos por los Países Bajos, Alemania, el Reino Unido y Francia. Windows representó la mayor parte de las conexiones de sistema intentadas con 115, aunque los registros también incluyeron 94 conexiones en macOS, 45 en Linux y 18 dispositivos Android.
El descubrimiento llega semanas después de que Trustwave encontrara otra operación apodada “Water Saci” que se propagaba a través de WhatsApp Web utilizando un gusano llamado SORVEPOTEL. Ese malware es un conducto para Maverick, un troyano bancario basado en NET que provenía de una familia anterior conocida como Coyote, como Cryptopolitan informó la semana pasada.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
