Новый банковский троян Maverick распространяется через WhatsApp Web

Новый банковский троян Maverick распространяется через WhatsApp Web

Новый банковский троян Maverick распространяется через WhatsApp Web

Исследователи из CyberProof обнаружили новый банковский зловред под названием Maverick, активно распространяющийся через WhatsApp Web (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России). Эксперты уже отметили его сходство с другим трояном — Coyote.

По данным CyberProof, вредонос прячется в ZIP-архиве, который распространяется через WhatsApp.

Внутри — ярлык Windows (LNK), который при запуске подгружает PowerShell-скрипт с внешнего сервера zapgrande[.]com. Этот скрипт отключает Microsoft Defender, запускает загрузчик .NET и проверяет системный язык, часовой пояс и регион. Только после этого Maverick устанавливается и начинает работу.

Задачи у него вполне типичные для банковских троянов: следить за активными вкладками браузера, перехватывать обращения к сайтам банков и показывать поддельные страницы для кражи данных.

Интересный момент — исследователи заметили, что зловред теперь атакует не только банки, но и гостиницы в Бразилии, что может указывать на расширение целей кампании.

По данным Trend Micro, за атакой стоит группировка Water Saci. Их схема работает в два этапа: сначала подключается самораспространяющийся компонент SORVEPOTEL, который управляет заражением через веб-версию WhatsApp, а затем уже загружается основной троян Maverick.

В новой версии Water Saci отказались от .NET в пользу VBScript и PowerShell. Скрипты скачивают ChromeDriver и Selenium, чтобы автоматизировать браузер и получить доступ к WhatsApp Web без участия пользователя — даже без повторного сканирования QR-кода.

Далее вредонос рассылает архивы всем контактам заражённого пользователя, маскируясь под «WhatsApp Automation v6.0». Он также обращается к серверу управления, получает шаблоны сообщений и имена контактов, чтобы делать рассылку максимально персонализированной.

Команда Trend Micro отмечает, что злоумышленники внедрили полноценный C2-механизм, который позволяет в реальном времени останавливать, возобновлять и контролировать рассылку. Более того, команды поступают не через обычный HTTP, а через IMAP-доступ к почтовым ящикам terra.com[.]br — с MFA, чтобы самим же хакерам не взломали их C2.

Возможности Maverick впечатляют: сбор информации о системе, выполнение команд через CMD и PowerShell, снятие скриншотов, работа с файлами, перезагрузка и выключение устройства, обновление самого себя — и даже поиск новых адресов серверов в письмах злоумышленников.

Москва снова без мобильного интернета: операторы предупредили абонентов

Жителям Москвы снова стоит приготовиться к перебоям с мобильным интернетом. Ряд операторов уже разослал своим абонентам уведомления о том, что сегодня в отдельных районах столицы возможны ограничения доступа к Сети. Как следует из сообщений, меры вводятся по соображениям безопасности.

При этом, как пишет «Код Дурова», речь не идёт о полном отключении интернета по всему городу, ограничения затронут лишь отдельные зоны.

Пока городские власти официально ситуацию не комментировали. Не уточняется и то, сколько продлятся ограничения, а также какие именно районы окажутся под их действием.

 

Для москвичей подобные сообщения перестают быть неожиданностью. Во время временного отключения мобильного интернета могут возникать сложности с вызовом такси, оплатой через терминалы, работой банковских приложений, сервисов доставки и других онлайн-платформ, зависящих от мобильной передачи данных.

Если доступ к Сети пропал, специалисты рекомендуют по возможности подключиться к Wi-Fi, заранее скачать необходимые карты и документы, а также иметь при себе наличные или банковскую карту на случай, если бесконтактная оплата временно перестанет работать.

Когда мобильный интернет вернётся к обычному режиму работы, пока неизвестно.

Ранее Памфилова призвала россиян не роптать из-за отключений интернета.

RSS: Новости на портале Anti-Malware.ru