- ブラジルで蔓延しているWhatsAppワームは、銀行および暗号資産の資格情報を窃取するPythonベースのトロイの木馬です。
- このマルウェアはWhatsAppの連絡先を乗っ取り、メッセージを自動化し、多段階感染チェーンを通じてEternidade Stealerを展開します。
- このキャンペーンはブラジルポルトガル語システムを対象とし、ジオフェンシング、IMAPベースのC2更新、ローカライズされた金融オーバーレイを利用しています。
WhatsApp経由で拡散する新しいワームがブラジルでデバイスを感染させ、Eternidade（ポルトガル語で「永遠」の意）Stealerと呼ばれる銀行トロイの木馬を配信しています。このトロイの木馬は、暗号通貨ウォレットや金融サービスの資格情報を盗みます。
Web3セキュリティ企業Trustwave SpiderLabsの研究者Nathaniel Morales、John Basmayor、Nikita Kazymirskyiの調査結果によると、この作戦はインターネットメッセージアクセスプロトコルを使用して、必要に応じてコマンド・アンド・コントロールの詳細を取得します。盗まれたデータは、脅威アクターがサーバーを回転させ、マルウェアが拡散する際に妨害を回避するのに役立ちます。
「これはインターネットメッセージアクセスプロトコル（IMAP）を使用してコマンド・アンド・コントロール（C2）アドレスを動的に取得し、脅威アクターがC2サーバーを更新できるようにします」と、セキュリティ専門家は水曜日の同社ブログページで書きました。
調査官によると、攻撃者は古いPowerShellスクリプトを放棄し、現在はPythonベースのアプローチを使用してWhatsAppをハイジャックし、悪意のあるファイルを配布しています。
Eternidade StealerはVBScriptを通じて活動を隠蔽
Trustwave SpiderLabsのレポートによると、攻撃は主にポルトガル語で書かれたコメントを持つ難読化されたVBScriptで始まります。
Pythonワームは、より短く俊敏なコードを使用してWhatsAppの活動を自動化し、wppconnectライブラリを使用して完全な連絡先リストを抽出し、一日の時間帯に基づいたカスタマイズされた挨拶を行い、悪意のある添付ファイルを含むメッセージに受信者の名前を挿入します。
「obter_contatos」という名前の中央関数は、マルウェアが被害者のWhatsAppのアドレス帳全体を盗むことを可能にします。各連絡先について、ワームは電話番号と名前を収集し、その人がローカルに保存されており、侵害可能なデバイスを持っているかどうかを調べます。
データは、攻撃者が制御するサーバーにHTTP POSTリクエストを通じて送信され、収集後、ワームは事前に構築されたメッセージテンプレートを使用してすべての連絡先に悪意のある添付ファイルを送信します。
MSIインストーラーが地域限定の銀行トロイの木馬を展開
攻撃の第二段階は、MSIインストーラーがAutoItスクリプトなど複数のコンポーネントをドロップした後に始まります。このスクリプトは直ちにデバイスの言語設定がブラジルポルトガル語になっているかを確認します。
システムがこの条件を満たさない場合、マルウェアはシャットダウンします。これは、脅威アクターがブラジルのユーザーのみを対象にしていることを意味する可能性があります。
ロケールチェックが通過すると、スクリプトはセキュリティツールの兆候を探すために実行中のプロセスとレジストリキーをスキャンします。また、デバイスをプロファイリングし、システムの詳細を攻撃者のコマンド・アンド・コントロールサーバーに送信します。
攻撃は、マルウェアが「svchost.exe」にEternidade Stealerのペイロードを注入することで終了します。このプロセスは、悪意のあるコードを正当なWindowsプロセス内に隠すことで知られる「hollowing（空洞化）」手法を使用します。
Eternidade Stealerは、ブラジルの主要銀行や国際的なフィンテックプラットフォームを含む、金融サービスに関連する文字列について、アクティブなウィンドウとプロセスを継続的に監視します。
Trustwaveが言及した金融企業の一部には、Santander、Banco do Brasil、BMG、Sicredi、Bradesco、BTG Pactual、MercadoPago、Stripeに加え、暗号通貨企業のBinance、Coinbase、MetaMask、Trust Walletが含まれます。
ブラジルの銀行トロイの木馬は、被害者が金融アプリケーションのいずれかを開くまで主に沈黙しています。その後、カジュアルなユーザーや自動セキュリティ分析ツールからは完全に不可視のまま、オーバーレイや資格情報収集ルーチンをトリガーします。
マルウェアのジオフェンシングにより、攻撃はブラジルのWhatsAppユーザーに限定
Trustwave SpiderLabsはパネル統計も共有し、マルウェアがブラジルとアルゼンチン以外のシステムへのアクセスを制限していることが明らかになりました。記録された454回の通信試行のうち、452回はジオフェンシングルールによりブロックされました。許可され、実際の悪意のあるドメインにリダイレクトされた接続は2件のみで、ブロックされた試行はプレースホルダーのエラーページにリダイレクトされました。
失敗した接続試行のうち、196件は米国からのものでした。次にオランダ、ドイツ、英国、フランスが続きます。Windowsは115件で試行されたシステム接続の最大のシェアを占めていましたが、ログにはmacOSで94件、Linuxで45件、Androidデバイスで18件の接続も含まれていました。
今回の発見は、Trustwaveが「Water Saci」と呼ばれる別の作戦を、SORVEPOTELというワームを使用してWhatsApp Web経由で拡散させていたことを発見してから数週間後のことです。このマルウェアはMaverickの伝達経路であり、MaverickはCoyoteという以前のファミリーに由来するNETベースの銀行トロイの木馬です。これはCryptopolitanが先週報告したところです。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
Florence Muchai
フローレンスは過去6年間、暗号資産、ゲーム、テクノロジー、AIに関するニュースを報道してきました。メルウ科学技術大学でのコンピュータ学およびMMUSTでの災害管理と国際外交の学習により、言語能力、観察力、技術スキルを十分に備えています。フローレンスはVAPグループで勤務し、複数の暗号資産メディアハウスで編集者として活躍しました。
