Il worm di WhatsApp diffonde un trojan che mira alle app crittografiche brasiliane e alle credenziali finanziarie
- Un worm di WhatsApp in Brasile sta diffondendo un trojan basato su Python che ruba credenziali bancarie e crypto.
- Il malware dirotta i contatti di WhatsApp, automatizza i messaggi e distribuisce Eternidade Stealer tramite una catena di infezione a più stadi.
- La campagna prende di mira sistemi in portoghese brasiliano, sfruttando il geofencing, aggiornamenti C2 basati su IMAP e overlay finanziari localizzati.
Un nuovo worm che si propaga tramite WhatsApp sta infettando dispositivi in Brasile, consegnando un trojan bancario chiamato Eternidade (in portoghese significa Eternità) Stealer che ruba le credenziali per portafogli di criptovalute e servizi finanziari.
Secondo i risultati dei ricercatori Nathaniel Morales, John Basmayor e Nikita Kazymirskyi della società di sicurezza Web3 Trustwave SpiderLabs, l'operazione utilizza il protocollo Internet Message Access Protocol per recuperare i dettagli di command-and-control su richiesta. I dati rubati possono aiutare un attore della minaccia a ruotare i server ed evitare interruzioni mentre il malware si diffonde.
"Utilizza il protocollo Internet Message Access Protocol (IMAP) per recuperare dinamicamente gli indirizzi di command-and-control (C2), consentendo all'attore della minaccia di aggiornare il suo server C2", hanno scritto i professionisti della sicurezza nella pagina del blog dell'azienda mercoledì.
Gli investigatori hanno detto che gli attaccanti hanno abbandonato gli script PowerShell più vecchi e stanno ora distribuendo un approccio basato su Python per dirottare WhatsApp e distribuire file malevoli.
Lo stealer Eternidade nasconde l'attività tramite VBScript
Secondo il rapporto di Trustwave SpiderLabs, l'attacco inizia con un VBScript offuscato i cui commenti sono scritti principalmente in portoghese.
Il worm Python utilizza codice più breve e più agile per automatizzare l'attività di WhatsApp ed estrarre l'elenco completo dei contatti utilizzando le librerie wppconnect, saluti personalizzati in base all'ora del giorno e inserire i nomi dei destinatari nei messaggi contenenti allegati malevoli.
Una funzione centrale, denominata "obter_contatos", consente al malware di rubare l'intero rubrica di WhatsApp della vittima. Per ogni contatto, il worm raccoglie il numero di telefono e il nome per scoprire se la persona è salvata localmente e ha un dispositivo che può essere violato.
I dati vengono trasmessi a un server controllato dall'attaccante tramite una richiesta HTTP POST, dove dopo la raccolta, un worm invia un allegato malevolo a ogni contatto utilizzando un modello di messaggio predefinito.
L'installer MSI distribuisce un trojan bancario localizzato
La seconda fase dell'attacco inizia una volta che l'installer MSI deposita diversi componenti, tra cui uno script AutoIt che controlla immediatamente se la lingua del dispositivo è impostata sul portoghese brasiliano.
Nei casi in cui il sistema non soddisfa questa condizione, il malware si chiude, il che potrebbe significare che gli attori della minaccia intendono colpire solo gli utenti in Brasile.
Quando il controllo della locale passa, lo script scansiona i processi in esecuzione e le chiavi di registro per cercare segni di strumenti di sicurezza. Profila anche il dispositivo e invia i dettagli del sistema ai server di command-and-control degli attaccanti.
L'attacco termina con il malware che inietta il payload Eternidade Stealer in "svchost.exe" utilizzando un processo che nasconde il codice malevolo all'interno di processi Windows legittimi, noto come "hollowing".
Eternidade Stealer monitora continuamente le finestre e i processi attivi per stringhe relative ai servizi finanziari, incluse alcune delle più grandi banche del Brasile e piattaforme fintech internazionali.
Alcune delle società finanziarie menzionate da Trustwave includono Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago, Stripe, insieme alle aziende cripto Binance, Coinbase, MetaMask e Trust Wallet.
I trojan bancari brasiliani sono per lo più dormienti finché la vittima non apre una delle applicazioni finanziarie. Quindi attiva overlay o routine di raccolta di credenziali mentre rimane completamente invisibile agli utenti occasionali o agli strumenti di analisi della sicurezza automatizzati.
Il geofencing del malware limita gli attacchi agli utenti WhatsApp brasiliani
Trustwave SpiderLabs ha anche condiviso le statistiche del pannello, che hanno rivelato che il malware limita l'accesso ai sistemi al di fuori del Brasile e dell'Argentina. Su 454 tentativi di comunicazione registrati, 452 sono stati bloccati a causa delle regole di geofencing. Solo due connessioni sono state consentite e reindirizzate al vero dominio malevolo, e i tentativi bloccati sono stati reindirizzati a una pagina di errore segnaposto.
Delle tentativi di connessione falliti, 196 provenivano dagli Stati Uniti, seguiti dai Paesi Bassi, dalla Germania, dal Regno Unito e dalla Francia. Windows ha rappresentato la quota maggiore di tentativi di connessione al sistema con 115, sebbene i log includessero anche 94 connessioni su macOS, 45 su Linux e 18 dispositivi Android.
La scoperta arriva settimane dopo che Trustwave ha trovato un'altra operazione denominata "Water Saci" che si diffondeva attraverso WhatsApp Web utilizzando un worm chiamato SORVEPOTEL. Quel malware è un veicolo per Maverick, un trojan bancario basato su NET che proveniva da una famiglia precedente nota come Coyote, come riportato da Cryptopolitan la scorsa settimana.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
