- 브라질에서 WhatsApp 웜이 파이썬 기반 트로이 목마를 유포하며 은행 및 암호화폐 자격 증명을 탈취하고 있습니다.
- 이 악성코드는 WhatsApp 연락처를 하이재킹하고 메시지를 자동화하며, 다단계 감염 체인을 통해 Eternidade Stealer를 배포합니다.
- 이 캠페인은 브라질 포르투갈어 시스템을 대상으로 지오펜싱, IMAP 기반 C2 업데이트 및 현지화된 금융 오버레이를 활용합니다.
새로운 WhatsApp 전파 웜이 브라질에서 기기를 감염시켜 Eternidade(포르투갈어로 영원을 의미) Stealer라는 뱅킹 트로잔을 전달하고 있으며, 이는 암호화폐 지갑 및 금융 서비스의 자격 증명을 탈취합니다.
Web3 보안 기업 Trustwave SpiderLabs의 연구원인 Nathaniel Morales, John Basmayor, Nikita Kazymirskyi의 조사 결과에 따르면, 이 작전은 명령 및 제어 세부 정보를 요청 시 가져오기 위해 인터넷 메시지 접근 프로토콜을 사용합니다. 탈취된 데이터는 위협 행위자가 서버를 회전하고 말웨어가 확산되는 동안 방해 조치를 피하는 데 도움이 될 수 있습니다.
"이것은 인터넷 메시지 접근 프로토콜(IMAP)을 사용하여 명령 및 제어(C2) 주소를 동적으로 검색하므로 위협 행위자가 C2 서버를 업데이트할 수 있습니다."라고 보안 전문가들은 수요일 회사의 블로그 페이지에서 썼습니다.
조사관들은 공격자들이 이전의 PowerShell 스크립트를 버리고 이제 WhatsApp을 하이재킹하여 악성 파일을 배포하기 위해 Python 기반 접근 방식을 사용하고 있다고 말했습니다.
Eternidade Stealer는 VBScript를 통해 활동을 숨깁니다.
Trustwave SpiderLabs의 보고서에 따르면, 공격은 주로 포르투갈어로 작성된 주석이 포함된 난독화된 VBScript로 시작됩니다.
Python 웜은 더 짧고 민첩한 코드를 사용하여 wppconnect 라이브러리를 사용하여 전체 연락처 목록을 추출하고, 시간대에 따라 맞춤 인사말을 생성하며, 악성 첨부 파일이 포함된 메시지에 수신자의 이름을 삽입하는 WhatsApp 활동을 자동화합니다.
"obter_contatos"라는 중앙 함수는 말웨어가 피해자의 전체 WhatsApp 주소록을 탈취할 수 있게 합니다. 각 연락처에 대해 웜은 전화번호와 이름을 수집하여 해당 사람이 로컬에 저장되어 있고 침입 가능한 장치를 가지고 있는지 확인합니다.
데이터는 공격자가 제어하는 서버로 HTTP POST 요청을 통해 전송되며, 수집 후 웜은 미리 구축된 메시지 템플릿을 사용하여 모든 연락처에 악성 첨부 파일을 보냅니다.
MSI 설치 프로그램은 지역화된 뱅킹 트로잔을 배포합니다.
공격의 두 번째 단계는 MSI 설치 프로그램이 여러 구성 요소, 특히 기기의 언어가 브라질 포르투갈어로 설정되어 있는지 즉시 확인하는 AutoIt 스크립트를 떨어뜨리면 시작됩니다.
시스템이 이 조건을 충족하지 않는 경우 말웨어가 종료됩니다. 이는 위협 행위자가 브라질 사용자를 표적으로 삼을 의도일 수 있음을 의미합니다.
로캘 검사가 통과하면 스크립트는 보안 도구의 징후를 위해 실행 중인 프로세스 및 레지스트리 키를 스캔합니다. 또한 기기를 프로파일링하고 시스템 세부 정보를 공격자의 명령 및 제어 서버로 보냅니다.
공격은 말웨어가 'hollowing'으로 알려진 프로세스를 사용하여 'svchost.exe'에 Eternidade Stealer 페이로드를 주입하면서 끝납니다. 이 프로세스는 정당한 Windows 프로세스 내에 악성 코드를 숨깁니다.
Eternidade Stealer는 브라질의 최대 은행 중 일부와 국제 핀테크 플랫폼을 포함한 금융 서비스와 관련된 문자열에 대해 활성 창과 프로세스를 지속적으로 모니터링합니다.
Trustwave가 언급한 일부 금융 기업에는 Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago, Stripe가 포함되며, 암호화폐 회사로는 Binance, Coinbase, MetaMask, Trust Wallet이 있습니다.
브라질의 뱅킹 트로잔은 피해자가 금융 응용 프로그램 중 하나를 열 때까지 대부분 휴면 상태입니다. 그런 다음 일반 사용자나 자동화된 보안 분석 도구에게 완전히 보이지 않으면서 오버레이나 자격 증수확 보 Routine을 트리거합니다.
말웨어의 지오펜싱은 공격을 브라질 WhatsApp 사용자로 제한합니다.
Trustwave SpiderLabs는 패널 통계도 공유했으며, 이는 말웨어가 브라질과 아르헨티나 외부의 시스템에 대한 접근을 제한한다는 것을 보여주었습니다. 기록된 454회의 통신 시도 중 452회는 지오펜싱 규칙으로 인해 차단되었습니다. 두 개의 연결만 허용되어 실제 악성 도메인으로 리디렉션되었으며, 차단된 시도는 플레이스홀더 오류 페이지로 리디렉션되었습니다.
실패한 연결 시도 중 196건은 미국에서 발생했으며, 이어 네덜란드, 독일, 영국, 프랑스가 뒤를 이었습니다. Windows는 115건의 시도된 시스템 연결로 가장 큰 비중을 차지했으며, 로그에는 macOS 94건, Linux 45건, Android 18건도 포함되었습니다.
이 발견은 Trustwave가 'Water Saci'라는 또 다른 작전을 발견한 지 몇 주 후입니다. 이 작전은 SORVEPOTEL이라는 웜을 사용하여 WhatsApp Web을 통해 확산되었습니다. 이 말웨어는 Coyote라는 이전 계열에서 유래한 NET 기반 뱅킹 트로잔인 Maverick의 통로 역할을 합니다. Cryptopolitan은 보고했습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
