Il malware Maverick prende il controllo di WhatsApp Web
Foto di Dimitri Karastelev su Unsplash.
- I ricercatori di cybersecurity hanno scoperto il malware Maverick che si diffonde tramite WhatsApp Web, prendendo di mira gli utenti brasiliani con trojan bancari e worm.
- Il malware utilizza VBScript, PowerShell e automazione del browser per dirottare account, rubare credenziali e distribuire file ZIP dannosi.
- Maverick include controlli geografici, comando e controllo remoto e tecniche di occultamento, consentendo agli attaccanti di gestire le infezioni come una botnet.
Le aziende di cybersecurity CyberProof, Trend Micro, Sophos e Kaspersky ritengono che gli attacchi Maverick colpiscano gli utenti di WhatsApp Web combinando Visual Basic Script e PowerShell con l'automazione del browser per dirottare gli account e inviare archivi ZIP dannosi ai contatti.
Il team SOC di CyberProof sottoposta a indagine un incidente in cui un file sospetto è stato scaricato tramite l'interfaccia web di WhatsApp. Il file era un archivio ZIP denominato NEW-20251001_152441-PED_561BCF01.zip.
Hanno recuperato gli hash SHA1 aa29bc5cf8eaf5435a981025a73665b16abb294e e SHA256 949be42310b64320421d5fd6c41f83809e8333825fb936f25530a125664221de. Quando le vittime eseguono un collegamento (LNK) all'interno dell'archivio, deoffusca il codice per creare ed eseguire cmd o PowerShell, e i comandi contattano un server dell'attaccante per recuperare il payload della prima fase.
Il loader del malware Maverick nascosto attraverso offuscamento classico
Secondo un post sul blog pubblicato lo scorso lunedì dal team di ricerca di CyberProof, il loader ha token divisi combinati con PowerShell codificato in Base64 e UTF‑16LE. Controlla la presenza di strumenti di reverse engineering e, se gli analisti sono presenti, il loader si auto-termina. Altrimenti, scarica un worm chiamato SORVEPOTEL e un trojan bancario noto come Maverick.
Trend Micro ha documentato per la prima volta Maverick, il trojan bancario che monitora l'attività web, all'inizio del mese scorso, collegandolo a un attore che definisce Water Saci. SORVEPOTEL è un malware auto-propagante che si diffonde tramite WhatsApp Web consegnando l'archivio ZIP che contiene il codice dannoso.
Maverick scansiona le schede del browser attive per gli URL che corrispondono a un elenco codificato hard-coded di istituzioni finanziarie dell'America Latina provenienti dal Brasile. Se viene trovato un match, il trojan recupera comandi successivi da un server remoto e richiede dati di sistema per inviare pagine di phishing progettate per raccogliere le credenziali.
Il team di sicurezza dell'azienda di software antivirus Kaspersky ha rilevato diversi sovrapposizioni di codice tra Maverick e un malware bancario più vecchio chiamato Coyote. Il software di sicurezza britannico Sophos ha detto che c'è la possibilità che Maverick sia un'evoluzione di Coyote, ma Kaspersky tratta Maverick come una minaccia distinta per gli utenti di WhatsApp Web basati in Brasile.
Come Maverick dirotta WhatsApp Web
La ricerca di CyberProof ha dichiarato che la campagna evita i binari .NET a favore di VBScript e PowerShell. L'archivio ZIP contiene un downloader VBScript offuscato chiamato Orcamento.vbs, che i ricercatori collegano a SORVEPOTEL.
Il VBScript esegue un comando PowerShell che esegue tadeu.ps1 direttamente in memoria, mentre il payload PowerShell automatizza Chrome tramite ChromeDriver e Selenium. Prende il controllo della sessione di WhatsApp Web della vittima e distribuisce l'archivio ZIP dannoso a tutti i contatti.
Il malware termina tutti i processi Chrome in esecuzione e copia il profilo Chrome legittimo in uno spazio di lavoro temporaneo prima di inviare qualsiasi messaggio.
«Questi dati includono cookie, token di autenticazione e la sessione del browser salvata, e permettono al malware di bypassare l'autenticazione di WhatsApp Web per dare all'hacker un accesso immediato all'account WhatsApp della vittima senza alcun avviso di sicurezza o scansione del codice QR», ha ipotizzato l'azienda di software di cybersecurity americano-giapponese Trend Micro.
Lo script, dopo aver preso il controllo dell'app Web, visualizza un banner ingannevole etichettato «Automazione WhatsApp v6.0» per nascondere le sue attività operative in corso. Il codice PowerShell recupera i modelli di messaggio da un server di comando e controllo (C2) ed esfiltrate l'elenco dei contatti della vittima.
Il ciclo di propagazione itera attraverso ogni contatto raccolto prima di inviare ogni messaggio e dopo aver verificato se il C2 ha emesso un comando di pausa. I messaggi sono personalizzati sostituendo le variabili con saluti basati sul tempo e i nomi dei contatti.
Trend Micro nota la campagna utilizza un sofisticato C2 remoto che supporta la gestione in tempo reale. Gli operatori possono mettere in pausa, riprendere e monitorare la propagazione per eseguire operazioni coordinate sugli host infetti.
Il malware Maverick viene distribuito solo dopo aver confermato che il client si trova in Brasile
Cyberproof e Trend Micro hanno confermato che Maverick si installa solo dopo aver confermato che l'host si trova in Brasile controllando il fuso orario, la lingua, la regione di sistema e il formato della data e dell'ora. Quest'ultima azienda ha anche scoperto che la catena limita l'esecuzione ai sistemi in lingua portoghese.
L'infrastruttura C2 include canali basati su e-mail, secondo il rapporto di Trend Micro, aggiungendo ridondanza e rendendola difficile da rilevare. CyberProof ha anche trovato prove che il malware ha preso di mira gli hotel in Brasile. Le aziende di sicurezza temono che l'attore possa ampliare i suoi obiettivi verso il settore dell'ospitalità, molto frequentato da target di alto valore.
Le ricerche su VirusTotal hanno aiutato il team a raccogliere campioni correlati e collegare i loro risultati alla ricerca pubblica di Kaspersky, Sophos e Trend Micro. Tuttavia, l'analisi degli incidenti dell'azienda di sicurezza CyberProof ha rivelato che l'intera catena di infezione non poteva essere osservata perché i file dal C2 non sono stati consegnati durante l'indagine.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
