Новый троян крадёт банковские данные и сам рассылает себя через WhatsApp

Новый троян крадёт банковские данные и сам рассылает себя через WhatsApp

Новый троян крадёт банковские данные и сам рассылает себя через WhatsApp

Исследователи из Elastic Security Labs обнаружили новый банковский троян TCLBanker. Он нацелен на 59 банковских, финтех- и криптовалютных платформ и распространяется через троянизированный MSI-установщик, замаскированный под Logitech AI Prompt Builder.

После заражения TCLBanker загружается в контексте легитимного приложения Logitech через стороннюю загрузку DLL. Такой подход помогает выглядеть менее подозрительно для защитных решений.

Троян также активно сопротивляется анализу. Он проверяет окружение, мешает запуску в песочницах и следит за появлением инструментов вроде IDA, Ghidra, x64dbg, dnSpy, Frida и ProcessHacker. Если замечает признаки анализа, вредоносная составляющая может не раскрыться.

Основной банковский модуль раз в секунду отслеживает адресную строку браузера через Windows UI Automation API. Если пользователь открывает сайт одной из целевых финансовых платформ, троян связывается с командным сервером и передаёт сведения о системе и жертве.

Дальше оператор получает довольно широкий набор возможностей: просмотр экрана в реальном времени, снятие скриншотов, кейлоггинг, перехват буфера обмена, выполнение команд, управление окнами, доступ к файловой системе и удалённое управление мышью и клавиатурой. Во время активной сессии троян может завершать процесс Диспетчера задач, чтобы пользователь не заметил происходящее.

Для кражи данных TCLBanker использует поддельные оверлеи. Он может показывать фейковые формы входа, ввод ПИН-кода, окна поддержки банка, экраны ожидания, имитацию Windows Update и другие элементы, которые маскируют действия злоумышленников.

Отдельно исследователи выделяют модуль самораспространения. TCLBanker ищет данные WhatsApp Web (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) в профилях Chromium, запускает скрытый экземпляр браузера и использует аккаунт жертвы для рассылки сообщений контактам.

 

Ещё один модуль работает через Microsoft Outlook. Вредоносная программа запускает Outlook, собирает контакты и адреса отправителей, а затем рассылает фишинговые письма уже с почты жертвы.

WhatsApp готовит виджет статусов для Android

WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) работает над новым виджетом для Android, который позволит смотреть обновления статусов прямо с главного экрана смартфона. Функцию заметили в бета-версии WhatsApp для Android 2.26.18.5, доступной через программу Google Play Beta.

Пока виджет находится в разработке и недоступен даже бета-тестерам. Но уже понятно, как он должен работать: пользователь сможет добавить его на главный экран и быстро увидеть, кто недавно опубликовал статус, не открывая WhatsApp.

Сейчас для просмотра статусов обычно нужно зайти во вкладку «Обновления». Иногда обновления видны и в «Чатах» через кольца вокруг аватаров, но приложение всё равно приходится открывать. Новый виджет должен сделать этот сценарий быстрее: посмотрел на экран — сразу понял, у кого появился новый статус.

 

По данным WABetaInfo, виджет будет похож на тот, который WhatsApp ранее подготовил для iOS. Ожидается, что он сможет показывать ограниченное число контактов (вероятно, до трёх человек одновременно).

Также в виджете появится быстрый доступ к созданию нового статуса. То есть пользователь сможет начать публикацию прямо с главного экрана, без перехода во вкладку «Обновления».

Контакты в виджете будут выбираться не просто по времени публикации. WhatsApp планирует использовать локальную систему ранжирования: чаще показывать статусы людей, с которыми пользователь больше общается, недавно переписывался или закрепил чат. Также приоритет могут получать статусы, срок действия которых скоро истекает.

Важный момент: ранжирование работает локально на устройстве, поэтому WhatsApp подчёркивает приватный характер такого подхода.

Пока срок запуска функции не раскрывается. Виджет ещё дорабатывают, а полноценное появление ожидается в одном из будущих обновлений.

RSS: Новости на портале Anti-Malware.ru