Le malware Maverick prend le contrôle de WhatsApp Web
Photo par Dimitri Karastelev sur Unsplash.
- Des chercheurs en cybersécurité découvrent le malware Maverick se propageant via WhatsApp Web, ciblant les utilisateurs brésiliens avec des trojans bancaires et des vers.
- Le malware utilise VBScript, PowerShell et l'automatisation du navigateur pour pirater des comptes, voler des identifiants et distribuer des fichiers ZIP malveillants.
- Maverick dispose de vérifications géographiques, d'un centre de commande et de contrôle à distance, ainsi que de techniques de furtivité, permettant aux attaquants de gérer les infections comme un botnet.
Les entreprises de cybersécurité CyberProof, Trend Micro, Sophos et Kaspersky estiment que Maverick attaque les utilisateurs de WhatsApp Web en combinant Visual Basic Script et PowerShell avec l'automatisation des navigateurs pour pirater des comptes et envoyer des archives ZIP malveillantes aux contacts.
L'équipe SOC de CyberProof enquêtée a signalé un incident où un fichier suspect a été téléchargé via l'interface web de WhatsApp. Le fichier était une archive ZIP nommée NEW-20251001_152441-PED_561BCF01.zip.
Ils ont récupéré les hachages SHA1 aa29bc5cf8eaf5435a981025a73665b16abb294e et SHA256 949be42310b64320421d5fd6c41f83809e8333825fb936f25530a125664221de. Lorsque les victimes exécutent un raccourci (LNK) à l'intérieur de l'archive, il désobfusque le code pour construire et exécuter cmd ou PowerShell, et les commandes contactent un serveur attaquant pour récupérer la première charge utile.
Chargeur de malware Maverick caché par une obfuscation classique
Selon un article de blog publié lundi dernier par l'équipe de recherche de CyberProof, le chargeur combine des jetons fractionnés avec du PowerShell encodé en Base64 et UTF‑16LE. Il vérifie la présence d'outils de rétro-ingénierie, et si des analystes sont présents, le chargeur s'auto-arrête. Sinon, il télécharge un ver appelé SORVEPOTEL et un cheval de Troie bancaire connu sous le nom de Maverick.
Trend Micro a documenté pour la première fois Maverick, le cheval de Troie bancaire qui surveille l'activité web, début du mois dernier, et l'a lié à un acteur qu'il appelle Water Saci. SORVEPOTEL est un malware auto-propagateur qui se propage via WhatsApp Web en livrant l'archive ZIP qui contient le code malveillant.
Maverick scanne les onglets de navigateur actifs pour les URL correspondant à une liste codée en dur d'institutions financières latino-américaines du Brésil. Si une correspondance est trouvée, le cheval de Troie récupère des commandes de suivi depuis un serveur distant et demande des données système pour envoyer des pages de phishing destinées à récolter des identifiants.
L'équipe de sécurité de l'entreprise de logiciels antivirus Kaspersky a détecté plusieurs chevauchements de code entre Maverick et un ancien malware bancaire appelé Coyote. Le logiciel de sécurité britannique Sophos a indiqué qu'il est possible que Maverick soit une évolution de Coyote, mais Kaspersky traite Maverick comme une menace distincte pour les utilisateurs de WhatsApp Web basés au Brésil.
Comment Maverick piratte WhatsApp Web
La recherche de CyberProof a indiqué que la campagne évite les binaires .NET au profit de VBScript et PowerShell. L'archive ZIP contient un téléchargeur VBScript obfusqué nommé Orcamento.vbs, que les chercheurs associent à SORVEPOTEL.
Le VBScript exécute une commande PowerShell qui lance tadeu.ps1 directement en mémoire, tandis que la charge utile PowerShell automatise Chrome via ChromeDriver et Selenium. Il prend le contrôle de la session WhatsApp Web de la victime et distribue l'archive ZIP malveillante à tous les contacts.
Le malware termine tout processus Chrome en cours d'exécution et copie le profil Chrome légitime dans un espace de travail temporaire avant d'envoyer des messages.
« Ces données incluent les cookies, les jetons d'authentification et la session de navigateur enregistrée, et permettent au malware de contourner l'authentification de WhatsApp Web pour donner un accès immédiat au compte WhatsApp de la victime à un pirate, sans aucune alerte de sécurité ni scan de code QR », a estimé l'entreprise américaine-japonaise de logiciels de cybersécurité Trend Micro.
Le script, après avoir pris le contrôle de l'application Web, affiche une bannière trompeuse intitulée « WhatsApp Automation v6.0 » pour masquer ses activités en cours. Le code PowerShell récupère des modèles de messages depuis un serveur de commande et de contrôle (C2) et exfiltre la liste de contacts de la victime.
La boucle de propagation itère sur chaque contact récolté avant d'envoyer chaque message et après avoir vérifié si le C2 a émis une commande de pause. Les messages sont personnalisés en substituant des variables par des salutations basées sur l'heure et les noms des contacts.
Trend Micro note a indiqué que la campagne utilise un C2 distant sophistiqué qui prend en charge la gestion en temps réel. Les opérateurs peuvent mettre en pause, reprendre et surveiller la propagation pour exécuter des opérations coordonnées sur les hôtes infectés.
Le malware Maverick ne se déploie qu'après confirmation que le client est au Brésil
Cyberproof et Trend Micro ont confirmé que Maverick s'installe uniquement après avoir confirmé que l'hôte est au Brésil en vérifiant le fuseau horaire, la langue, la région système et le format de la date et de l'heure. La dernière entreprise a également trouvé que la chaîne restreint l'exécution aux systèmes de langue portugaise.
L'infrastructure C2 comprend des canaux basés sur l'e-mail, selon le rapport de Trend Micro, ajoutant à sa redondance tout en la rendant difficile à détecter. CyberProof a également trouvé des preuves que le malware visait spécifiquement les hôtels au Brésil. Les entreprises de sécurité craignent que l'acteur n'élargisse ses objectifs à l'industrie de l'hôtellerie, bien fréquentée par des cibles de haute valeur.
Les recherches sur VirusTotal ont aidé l'équipe à collecter des échantillons connexes et à relier leurs découvertes aux recherches publiques de Kaspersky, Sophos et Trend Micro. Pourtant, l'analyse d'incident de l'entreprise de sécurité CyberProof a révélé que la chaîne d'infection complète n'a pas pu être observée car les fichiers du C2 n'ont pas été livrés pendant son enquête.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
