Maverick マルウェアが WhatsApp Web を乗っ取る

CyberProof、Trend Micro、Sophos、Kaspersky などのサイバーセキュリティ企業は、Maverick が Visual Basic Script と PowerShell をブラウザ自動化と組み合わせて WhatsApp Web ユーザーを攻撃し、アカウントを乗っ取って連絡先に悪意のある ZIP アーカイブを送信すると分析しています。

CyberProof の SOC チーム 調査した WhatsApp の Web インターフェースを通じて疑わしいファイルがダウンロードされた事案です。そのファイルは NEW-20251001_152441-PED_561BCF01.zip という名前の ZIP アーカイブでした。 

SHA1 aa29bc5cf8eaf5435a981025a73665b16abb294e および SHA256 949be42310b64320421d5fd6c41f83809e8333825fb936f25530a125664221de のハッシュ値が復元されました。被害者がアーカイブ内のショートカット (LNK) ファイルを実行すると、コードのデオブフスカイト化が行われ、cmd または PowerShell が構築・実行されます。その後、コマンドは攻撃者サーバーに接続して第 1 ステージペイロードを取得します。

古典的なオブフスカイトで隠蔽された Maverick マルウェアローダー

CyberProof 研究チームが先週月曜日に公開したブログ記事によると、このローダーはトークンを分割し、Base64 と UTF‑16LE でエンコードされた PowerShell を組み合わせています。リバーエンジニアリングツールの有無を確認し、分析官が存在する場合は自己終了します。それ以外の場合は、SORVEPOTEL というワームと、Maverick という銀行トロイの木馬をダウンロードします。

Trend Micro は先月初旬、ウェブアクティビティを監視する銀行トロイの木馬である Maverick を初めて文書化し、Water Saci と呼ばれるアクターに関連付けました。SORVEPOTEL は自己増殖型のマルウェアで、以下を通じて拡散します。 WhatsApp Web 悪意のあるコードを含む ZIP アーカイブを配信することにより。 

Maverick はアクティブなブラウザのタブをスキャンし、ブラジルのラテンアメリカ金融機関のハードコードされたリストに一致する URL を検索します。一致が見つかった場合、トロイの木馬はリモートサーバーから続行コマンドを取得し、システムデータを要求して、認証情報を窃取するためのフィッシングページを送信します。

アンチウイルスソフトウェア会社カスペルスキーのセキュリティチームが複数の コードの重複 を発見しました。これらは、Maverick と「Coyote」と呼ばれる古い銀行マルウェアの間で確認されています。英国のセキュリティソフトウェア企業 Sophos は、Maverick が Coyote の進化版である可能性があると述べていますが、カスペルスキーは Maverick をブラジル拠点の WhatsApp Web ユーザーに対する独立した脅威と捉えています。

Maverick が WhatsApp Web を乗っ取る仕組み

CyberProof の調査によると、このキャンペーンでは .NET バイナリを避け、VBScript と PowerShell を採用しています。ZIP アーカイブには、SORVEPOTEL に関連付けられている難読化された VBScript ダウンローダー「Orcamento.vbs」が含まれています。 

VBScript は tadeu.ps1 を直接メモリ上で実行する PowerShell コマンドを実行し、PowerShell ペイロードは ChromeDriver と Selenium を使用して Chrome を自動化します。そして 被害者の WhatsApp Web セッションを乗っ取り、悪意のある ZIP ファイルをすべての連絡先に配布します。

マルウェアは実行中のChromeプロセスをすべて終了し、正当なChromeのプロファイルを一時作業領域にコピーしてからメッセージを送信します。 

「このデータにはクッキー、認証トークン、保存されたブラウザセッションが含まれており、これによりマルウェアはWhatsApp Webの認証を回避して、セキュリティアラートやQRコードのスキャンなしでハッカーが被害者のWhatsAppアカウントに即座にアクセスできるようになります」と、日米のサイバーセキュリティソフトウェア企業であるTrend Microは推測しています。

Webアプリの制御を奪った後、スクリプトは「WhatsApp Automation v6.0」という誤解を招くバナーを表示して、進行中の操作活動を隠蔽します。PowerShellコードはコマンド・アンド・コントロール（C2）サーバーからメッセージテンプレートを取得し、被害者の連絡先リストを外部へ転送します。 

拡散ループは、収集したすべての連絡先に対してメッセージを送信する前に、C2から一時停止コマンドが発行されたかどうかを確認しながら繰り返されます。メッセージは、時間ベースの挨拶文と連絡先名を変数に置き換えることでパーソナライズされます。

Trend Micro 注記 このキャンペーンは、リアルタイム管理をサポートする高度なリモートC2を使用しています。オペレーターは、感染したホストで協調的な操作を実行するために、伝播の一時停止、再開、監視を行うことができます。 

Maverick Malwareは、クライアントがブラジルにいることを確認してからのみ展開されます 

CyberproofとTrend Microは、Maverickが時刻帯、言語、システム地域、日付および時刻形式を確認することで、ホストがブラジルにあることを確認してからのみインストールされることを確認しました。後者の企業はまた、チェーンがポルトガル語システムのみの実行を制限していることも発見しました。 

Trend Microのレポートによると、C2インフラストラクチャにはメールベースのチャネルが含まれており、冗長性を高めつつ検出を困難にしています。CyberProofもまた、マルウェアがブラジルのホテルを標的にしている証拠を発見しました。セキュリティ企業は、攻撃者が高価値のターゲットが多く訪れる宿泊業界への対象を広げる可能性を懸念しています。

VirusTotal の検索により、チームは関連するサンプルを収集し、その発見をカスペルスキー、Sophos、Trend Micro からの公開研究と結びつけることができました。しかし、セキュリティ企業 CyberProof のインシデント分析では、C2 からのファイルが調査中に正常に配信されなかったため、完全な感染チェーンを観察することはできなかったことが明らかになりました。