WhatsApp蠕虫传播针对巴西加密应用和金融凭证的特洛伊木马

一种新的WhatsApp传播蠕虫正在感染巴西的设备，交付一种名为Eternidade（葡萄牙语意为永恒）Stealer的银行特洛伊木马，该木马窃取加密货币钱包和金融服务的凭证。

根据Web3安全公司Trustwave SpiderLabs的研究人员Nathaniel Morales、John Basmayor和Nikita Kazymirskyi的发现，该操作使用互联网消息访问协议按需获取命令和控制细节。被盗数据可帮助威胁行为者轮换服务器并逃避干扰，随着恶意软件的传播。

“它使用互联网消息访问协议（IMAP）动态检索命令和控制（C2）地址，允许威胁行为者更新其C2服务器，”安全专业人士在周三的公司博客页面上写道。

调查人员表示，攻击者已放弃较旧的PowerShell脚本，现在正部署一种基于Python的方法来劫持WhatsApp并分发恶意文件。

Eternidade Stealer通过VBScript隐藏活动

根据Trustwave SpiderLabs的报告，攻击始于一个混淆的VBScript，其注释主要用葡萄牙语编写。

Python蠕虫使用更短、更敏捷的代码来自动化WhatsApp活动，使用wppconnect库提取完整的联系人列表，根据一天中的时间定制问候语，并将收件人的姓名插入包含恶意附件的消息中。

一个名为“obter_contatos”的核心功能使恶意软件能够窃取受害者的整个WhatsApp通讯录。对于每个联系人，蠕虫会收集电话号码和姓名，以确定该人是否已本地保存且拥有可被入侵的设备。

数据通过HTTP POST请求传输到攻击者控制的服务器，在收集后，蠕虫使用预建的消息模板向每个联系人发送恶意附件。

MSI安装程序部署本地化银行特洛伊木马

攻击的第二阶段在MSI安装程序投放几个组件后开始，包括一个立即检查设备语言是否设置为巴西葡萄牙语的AutoIt脚本。 

如果系统不满足此条件，恶意软件将关闭，这可能意味着威胁行为者打算仅针对巴西用户。

当区域设置检查通过后，脚本会扫描正在运行的进程和注册表键，以查找安全工具的迹象。它还会对设备进行配置分析，并将系统详细信息发送回攻击者的命令和控制服务器。

攻击以恶意软件使用一种称为“空洞化”的过程将Eternidade Stealer有效载荷注入“svchost.exe”结束，该过程将恶意代码隐藏在合法的Windows进程中。

Eternidade Stealer持续监控与金融服务相关的活动窗口和进程中的字符串，包括巴西的一些最大银行和国际金融科技平台。 

Trustwave提到的一些金融机构包括桑坦德银行、巴西银行、BMG、Sicredi、Bradesco、BTG Pactual、MercadoPago、Stripe，以及加密货币公司Binance、Coinbase、MetaMask和Trust Wallet。

巴西银行特洛伊木马通常在受害者打开其中一个金融应用程序之前处于休眠状态。然后它会触发覆盖层或凭证收集例程，同时对普通用户或自动安全分析工具完全不可见。

恶意软件地理围栏将攻击限制在巴西WhatsApp用户 

Trustwave SpiderLabs还分享了面板统计数据，显示恶意软件限制访问巴西和阿根廷以外的系统。在记录的454次通信尝试中，有452次因地理围栏规则而被阻止。只有两个连接被允许并重定向到真正的恶意域名，而被阻止的尝试被重定向到占位符错误页面。

在失败的连接尝试中，有196次来自美国，其次是荷兰、德国、英国和法国。Windows占据了尝试系统连接的最大份额，为115次，尽管日志还包括macOS上的94次连接、Linux上的45次连接和Android设备上的18次连接。

这一发现是在Trustwave几周前发现另一个名为“Water Saci”的操作通过WhatsApp Web使用名为SORVEPOTEL的蠕虫传播之后。该恶意软件是Maverick的载体，Maverick是一种基于NET的银行特洛伊木马，源自较早的Coyote家族，Cryptopolitan上周报道了这一情况。