Verme do WhatsApp espalha trojan que visa aplicativos de criptomoedas brasileiras e credenciais financeiras
- Um verme do WhatsApp no Brasil está espalhando um trojan baseado em Python que rouba credenciais bancárias e de criptomoedas.
- O malware sequestra contatos do WhatsApp, automatiza mensagens e implanta o Eternidade Stealer por meio de uma cadeia de infecção em múltiplas etapas.
- A campanha visa sistemas em português brasileiro, utilizando geofencing, atualizações de C2 baseadas em IMAP e sobreposições financeiras localizadas.
Um novo verme que se propaga pelo WhatsApp está infectando dispositivos no Brasil, entregando um trojan bancário chamado Eternidade (Eternity em português) Stealer, que rouba credenciais de carteiras de criptomoedas e serviços financeiros.
De acordo com as descobertas dos pesquisadores Nathaniel Morales, John Basmayor e Nikita Kazymirskyi da firma de segurança Web3 Trustwave SpiderLabs, a operação usa o Protocolo de Acesso à Mensagem da Internet para buscar detalhes de comando e controle sob demanda. Os dados roubados podem ajudar um ator da ameaça a alternar servidores e evitar interrupções à medida que o malware se espalha.
“Ele usa o Protocolo de Acesso à Mensagem da Internet (IMAP) para recuperar dinamicamente os endereços de comando e controle (C2), permitindo que o ator da ameaça atualize seu servidor C2”, escreveram os profissionais de segurança na página do blog da empresa na quarta-feira.
Os investigadores disseram que os atacantes abandonaram scripts PowerShell mais antigos e agora estão implantando uma abordagem baseada em Python para sequestrar o WhatsApp e distribuir arquivos maliciosos.
O stealer Eternidade oculta atividades por meio do VBScript
De acordo com o relatório da Trustwave SpiderLabs, o ataque começa com um VBScript ofuscado cujos comentários são escritos principalmente em português.
O verme Python utiliza código mais curto e ágil para automatizar atividades no WhatsApp, extraindo listas completas de contatos por meio das bibliotecas wppconnect, personalizando saudações com base no horário do dia e inserindo os nomes dos destinatários em mensagens que contêm anexos maliciosos.
Uma função central, chamada “obter_contatos”, permite que o malware roube todo o livro de endereços do WhatsApp da vítima. Para cada contato, o verme coleta o número de telefone e o nome para descobrir se a pessoa está salva localmente e possui um dispositivo que pode ser violado.
Os dados são transmitidos para um servidor controlado pelo atacante por meio de uma solicitação HTTP POST, onde, após a coleta, o verme envia um anexo malicioso para todos os contatos usando um modelo de mensagem pré-construído.
Instalador MSI implanta trojan bancário localizado
A segunda etapa do ataque começa assim que o instalador MSI deixa vários componentes, incluindo um script AutoIt que verifica imediatamente se o idioma do dispositivo está definido como português do Brasil.
Nos casos em que o sistema não atende a essa condição, o malware é encerrado, o que pode indicar que os agentes de ameaça pretendem atingir apenas usuários no Brasil.
Quando a verificação de localidade é aprovada, o script verifica os processos em execução e as chaves do registro em busca de sinais de ferramentas de segurança. Ele também perfila o dispositivo e envia os detalhes do sistema de volta ao servidor de comando e controle dos atacantes.
O ataque termina com o malware injetando a carga útil do Eternidade Stealer no “svchost.exe” usando um processo que oculta o código malicioso dentro de processos legítimos do Windows, conhecido como “hollowing” (escavação de processos).
O Eternidade Stealer monitora continuamente as janelas e processos ativos em busca de strings relacionadas a serviços financeiros, incluindo alguns dos maiores bancos do Brasil e plataformas internacionais de fintech.
Algumas das empresas financeiras mencionadas pela Trustwave incluem Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago, Stripe, junto com empresas de criptomoedas como Binance, Coinbase, MetaMask e Trust Wallet.
Trojans bancários brasileiros permanecem majoritariamente inativos até que a vítima abra uma das aplicações financeiras. Em seguida, eles acionam sobreposições ou rotinas de coleta de credenciais, permanecendo completamente invisíveis para usuários casuais ou ferramentas de análise de segurança automatizadas.
Geofencing de malware limita ataques a usuários brasileiros do WhatsApp
A Trustwave SpiderLabs também compartilhou estatísticas do painel, que revelaram que o malware restringe o acesso a sistemas fora do Brasil e da Argentina. Dos 454 tentativas de comunicação registradas, 452 foram bloqueadas devido às regras de geofencing. Apenas duas conexões foram permitidas e redirecionadas para o domínio malicioso real, e as tentativas bloqueadas foram redirecionadas para uma página de erro de espaço reservado.
Das tentativas de conexão falhas, 196 vieram dos Estados Unidos, seguidas pela Holanda, Alemanha, Reino Unido e França. O Windows representou a maior parte das tentativas de conexão de sistemas com 115, embora os logs também incluíssem 94 conexões no macOS, 45 no Linux e 18 dispositivos Android.
A descoberta ocorre semanas depois que a Trustwave encontrou outra operação chamada “Water Saci” se espalhando pelo WhatsApp Web usando um verme chamado SORVEPOTEL. Esse malware é um conduto para o Maverick, um trojan bancário baseado em NET que veio de uma família anterior conhecida como Coyote, como a Cryptopolitan reportou na semana passada.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
