Червь WhatsApp распространяет троян, нацеленный на бразильские криптоприложения и финансовые учетные данные
- Червь WhatsApp в Бразилии распространяет троян на базе Python, крадущий банковские и криптографические учетные данные.
- Вредоносное ПО захватывает контакты WhatsApp, автоматизирует отправку сообщений и развертывает Eternidade Stealer через многоэтапную цепочку заражения.
- Кампания нацелена на системы с бразильским португальским языком, используя геолокационные ограничения, обновления C2 на основе IMAP и локализованные финансовые подмены.
Новый червь, распространяющийся через WhatsApp, заражает устройства в Бразилии, доставляя банковский троян под названием Eternidade (с португальского — «Вечность») Stealer, который крадет учетные данные для криптовалютных кошельков и финансовых сервисов.
Согласно выводам исследователей из компании по безопасности Web3 Trustwave SpiderLabs Натаниэля Моралеса, Джона Басмайора и Никиты Казымирского, операция использует протокол доступа к интернет-сообщениям (IMAP) для получения командно-контрольных данных по запросу. Украденные данные могут помочь злоумышленникам менять серверы и избегать прерывания деятельности по мере распространения вредоносного ПО.
«Он использует протокол доступа к сообщениям через Интернет (IMAP) для динамического извлечения адресов команд и управления (C2), позволяя злоумышленнику обновлять свой сервер C2», — написали специалисты по безопасности на странице блога компании в среду.
Следователи заявили, что злоумышленники отказались от старых скриптов PowerShell и теперь используют подход на базе Python для перехвата WhatsApp и распространения вредоносных файлов.
Stealer Eternidade скрывает активность с помощью VBScript
Согласно отчету Trustwave SpiderLabs, атака начинается с зашифрованного VBScript, комментарии в котором в основном написаны на португальском языке.
Червь на Python использует более короткий и гибкий код для автоматизации действий в WhatsApp: извлечения полных списков контактов с использованием библиотек wppconnect, отправки приветствий, адаптированных ко времени суток, и вставки имен получателей в сообщения с вредоносными вложениями.
Центральная функция под названием «obter_contatos» позволяет вредоносной программе красть всю адресную книгу WhatsApp жертвы. Для каждого контакта червь собирает номер телефона и имя, чтобы выяснить, сохранен ли человек локально и есть ли у него устройство, которое можно взломать.
Данные передаются на сервер, контролируемый злоумышленниками, через HTTP POST-запрос, после сбора червь отправляет вредоносное вложение каждому контакту, используя заранее подготовленный шаблон сообщения.
Установщик MSI развертывает локализованный банковский троян
Второй этап атаки начинается после того, как установщик MSI распаковывает несколько компонентов, включая скрипт AutoIt, который немедленно проверяет, установлен ли язык устройства на бразильский португальский.
В случаях, когда система не соответствует этому условию, вредоносное ПО завершает работу, что может означать, что злоумышленники нацелены только на пользователей в Бразилии.
Когда проверка локали проходит успешно, скрипт сканирует запущенные процессы и ключи реестра на наличие признаков инструментов безопасности. Он также профилирует устройство и отправляет системные данные обратно на сервер командно-контрольной инфраструктуры злоумышленников.
Атака завершается внедрением полезной нагрузки Eternidade Stealer в «svchost.exe» с использованием процесса, известного как «hollowing» (оболочка), который скрывает вредоносный код внутри легитимных процессов Windows.
Eternidade Stealer постоянно мониторит активные окна и процессы на наличие строк, связанных с финансовыми услугами, включая некоторые из крупнейших банков Бразилии и международные финтех-платформы.
Среди финансовых компаний, упомянутых Trustwave, есть Santander, Banco do Brasil, BMG, Sicredi, Bradesco, BTG Pactual, MercadoPago, Stripe, а также криптокомпании Binance, Coinbase, MetaMask и Trust Wallet.
Бразильские банковские трояны обычно находятся в спящем режиме, пока жертва не откроет одно из финансовых приложений. Затем они запускают оверлеи или процедуры сбора учетных данных, оставаясь полностью невидимыми для обычных пользователей или автоматизированных инструментов анализа безопасности.
Геофенсинг вредоносного ПО ограничивает атаки пользователями WhatsApp из Бразилии
Исследователи Trustwave SpiderLabs также поделились статистикой панели, которая показала, что вредоносное ПО ограничивает доступ к системам за пределами Бразилии и Аргентины. Из 454 зафиксированных попыток связи 452 были заблокированы из-за правил геофенсинга. Только две соединения были разрешены и перенаправлены на реальный вредоносный домен, а заблокированные попытки были перенаправлены на страницу ошибки-заглушки.
Из неудачных попыток подключения 196 поступили из США, за которыми следуют Нидерланды, Германия, Великобритания и Франция. Windows составила наибольшую долю попыток подключения к системам — 115, хотя в журналах также были зафиксированы 94 подключения на macOS, 45 на Linux и 18 на устройствах Android.
Обнаружение произошло через несколько недель после того, как Trustwave обнаружила другую операцию под названием «Water Saci», распространявшуюся через WhatsApp Web с помощью червя SORVEPOTEL. Этот вредоносный код является каналом для Maverick — банковского трояна на базе NET, происходящего из более раннего семейства Coyote, как сообщалось Cryptopolitan на прошлой неделе.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
