Un ver WhatsApp propage un cheval de Troie ciblant les applications crypto brésiliennes et les identifiants financiers

Un nouveau ver se propageant via WhatsApp infecte des appareils au Brésil et livre un trojan bancaire appelé Eternidade (qui signifie Éternité en portugais) Stealer, volant les identifiants des portefeuilles de cryptomonnaies et des services financiers.

Selon les conclusions des chercheurs Nathaniel Morales, John Basmayor et Nikita Kazymirskyi du cabinet de sécurité Web3 Trustwave SpiderLabs, l'opération utilise le protocole Internet Message Access Protocol pour récupérer les détails de commande et contrôle à la demande. Les données volées peuvent aider un acteur malveillant à faire pivoter ses serveurs et à éviter les perturbations alors que le malware se propage.

« Il utilise le protocole d'accès aux messages Internet (IMAP) pour récupérer dynamiquement les adresses de commande et de contrôle (C2), permettant à l'acteur malveillant de mettre à jour son serveur C2 », ont écrit les professionnels de la sécurité dans la page du blog de l'entreprise ce mercredi.

Les enquêteurs ont indiqué que les attaquants avaient abandonné les anciens scripts PowerShell et déploient désormais une approche basée sur Python pour pirater WhatsAppet distribuer des fichiers malveillants.

Le stealer Eternidade masque son activité grâce à VBScript

Selon le rapport de Trustwave SpiderLabs, l'attaque commence avec un script VBScript obfusqué dont les commentaires sont principalement rédigés en portugais.

Le ver Python utilise un code plus court et plus agile pour automatiser l'activité WhatsApp, extraire des listes de contacts complètes via les bibliothèques wppconnect, personnaliser les salutations en fonction de l'heure de la journée et insérer les noms des destinataires dans des messages contenant des pièces jointes malveillantes.

Une fonction centrale, nommée « obter_contatos », permet au malware de voler tout le carnet d'adresses WhatsAppde la victime. Pour chaque contact, le ver collecte le numéro de téléphone et le nom afin de déterminer si la personne est enregistrée localement et dispose d'un appareil vulnérable.

Les données sont transmises à un serveur contrôlé par l'attaquant via une requête HTTP POST ; après collecte, le ver envoie une pièce jointe malveillante à chaque contact en utilisant un modèle de message préconstruit.

L'installateur MSI déploie un cheval de Troie bancaire localisé

La deuxième étape de l'attaque débute une fois que l'installateur MSI a déposé plusieurs composants, dont un script AutoIt qui vérifie immédiatement si la langue du système est définie sur le portugais brésilien. 

Dans les cas où le système ne répond pas à cette condition, le malware s'arrête, ce qui pourrait indiquer que les acteurs de la menace ciblent uniquement les utilisateurs au Brésil.

Lorsque le contrôle de la locale réussit, le script scanne les processus en cours d'exécution et les clés de registre à la recherche de signes d'outils de sécurité. Il procède également au profilage de l'appareil et renvoie les détails du système aux serveurs de commande et de contrôle des attaquants.

L'attaque se termine par l'injection de la charge utile Eternidade Stealer dans « svchost.exe » via un processus qui dissimule le code malveillant au sein de processus Windows légitimes, une technique connue sous le nom de « hollowing ».

Eternidade Stealer surveille en continu les fenêtres et processus actifs à la recherche de chaînes de caractères liées aux services financiers, y compris certaines des plus grandes banques du Brésil et des plateformes fintech internationales. 

Parmi les institutions financières mentionnées par Trustwave figurent Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago, Stripe, ainsi que des entreprises de crypto-monnaies comme Binance, Coinbase, MetaMask et Trust Wallet.

Les trojans bancaires brésiliens restent principalement inactifs tant que la victime n'a pas ouvert l'une des applications financières. Ils déclenchent alors des superpositions ou des routines de vol d'identifiants tout en restant totalement invisibles pour les utilisateurs occasionnels ou les outils d'analyse de sécurité automatisés.

Le géorepérage du malware limite les attaques aux utilisateurs brésiliens de WhatsApp 

Trustwave SpiderLabs a également partagé des statistiques du panneau, qui ont révélé que le malware restreint l'accès aux systèmes situés en dehors du Brésil et de l'Argentine. Sur 454 tentatives de communication enregistrées, 452 ont été bloquées en raison de règles de géolocalisation. Seules deux connexions ont été autorisées et redirigées vers le véritable domaine malveillant, tandis que les tentatives bloquées ont été redirigées vers une page d'erreur fictive.

Parmi les tentatives de connexion échouées, 196 provenaient des États-Unis, suivis par les Pays-Bas, l'Allemagne, le Royaume-Uni et la France. Windows représentait la plus grande part des tentatives de connexion système avec 115, bien que les journaux incluent également 94 connexions sur macOS, 45 sur Linux et 18 appareils Android.

Cette découverte intervient quelques semaines après que Trustwave ait découvert une autre opération baptisée « Water Saci » se propageant via WhatsApp Web à l'aide d'un ver appelé SORVEPOTEL. Ce malware sert de vecteur à Maverick, un cheval de Troie bancaire basé sur .NET, issu d'une famille antérieure connue sous le nom de Coyote, comme Cryptopolitan l'a rapportéla semaine dernière.