WhatsApp-червь помогает злоумышленникам доставлять банковский троян

WhatsApp-червь помогает злоумышленникам доставлять банковский троян

WhatsApp-червь помогает злоумышленникам доставлять банковский троян

Исследователи рассказали о новой кампании, в ходе которой злоумышленники совмещают социальную инженерию и угон учёток WhatsApp (принадлежит Meta, признанной экстремистской и запрещённой в России) для распространения банковского трояна Eternidade Stealer. Кампания задействует продуманную цепочку заражения, включающую Python-скрипты, AutoIt и старый добрый Delphi.

По данным Trustwave SpiderLabs, троян использует IMAP для динамического получения адресов управляющих серверов (C2). Это позволяет операторам быстро менять инфраструктуру и оставаться незамеченными.

В основе заражения — червь для WhatsApp. Сейчас злоумышленники перешли с PowerShell на Python: скрипт перехватывает доступ к WhatsApp Web и рассылает вредоносные вложения от имени скомпрометированного аккаунта. Аналогичный подход недавно использовала другая кампания — Water Saci.

Eternidade Stealer — часть более широкого тренда: атакующие уже много лет предпочитают трояны на Delphi, что объясняют как техническими причинами, так и популярностью этого языка в прошлом среди местных разработчиков.

Стартовая точка атаки — обфусцированный VBS-скрипт с комментариями на португальском. Запустившись, он вызывает BAT-файл, который разветвляет заражение на два направления:

  1. Python-скрипт, распространяющий вредонос через WhatsApp Web в режиме «червя». Он получает список контактов жертвы, фильтрует группы и бизнес-аккаунты, отправляет данные на удалённый сервер и рассылает каждому из контактов вредоносное вложение с подставленным приветствием и именем получателя.
  2. MSI-установщик, который запускает цепочку с AutoIt-скриптом и доставляет основной троян Eternidade Stealer.

 

MSI-поток проверяет язык системы — если это не португальский, вредоносная программа завершает работу. Затем она ищет установленные защитные решения, собирает информацию о системе и внедряет основной модуль в процесс svchost.exe через process hollowing (создание нового экземпляра запущенного процесса в состоянии ожидания и замена легитимного кода в памяти вредоносным).

Eternidade действует классический банковский троян: отслеживает окна и процессы, связанные с онлайн-банкингом, платёжными системами и криптокошельками. В списке целей — Bradesco, BTG Pactual, MercadoPago, Binance, Coinbase, MetaMask, Trust Wallet и другие популярные сервисы.

Для связи с операторами троян использует необычный приём: данные о C2 он получает через почтовый ящик на terra.com.br, повторяя технику Water Saci. Если доступ к почте недоступен, задействуется резервный сервер.

После соединения с C2 модуль ждёт команд. Среди них — сбор информации о системе, мониторинг активности пользователя, создание наложенных окон для кражи учётных данных, кейлоггинг и кража файлов.

Анализ инфраструктуры показал, что операторы используют две панели управления: одну для перенаправления трафика, другую — для доступа к заражённым машинам.

При этом действуют строгие геоограничения: большинство обращений блокируются, если они приходят не из Бразилии или Аргентины. Из 454 зафиксированных подключений лишь два попали в «разрешённый» сегмент.

Несмотря на то что сама кампания ориентирована на Бразилию, Telemetry Trustwave показывает, что следы вредоносной активности фиксируются по всему миру — от США до Германии и Нидерландов.

Исследователи отмечают: даже если вы не в Бразилии, стоит следить за подозрительной активностью в WhatsApp, неожиданными MSI-файлами и скриптами, запускаемыми на системе. Кампания активно развивается, а её операторы продолжают экспериментировать с техниками обхода защиты.

В Минцифры заявили о курсе на деанонимизацию интернета в России

Российские власти продолжат курс на деанонимизацию интернета. Об этом заявила директор департамента развития массовых коммуникаций и международного сотрудничества Минцифры Екатерина Ларина во время медиафорума ШОС в Киргизии.

По её словам, вопросы информационной безопасности должны решаться в цифровой среде так же, как и в офлайне. Именно поэтому государство последовательно работает над тем, чтобы в интернете становилось меньше анонимности.

«В России ведётся последовательная работа по деанонимизации в интернете», — подчеркнула представитель Минцифры.

Ларина отметила, что традиционные СМИ несут ответственность за публикуемую информацию и дорожат своей репутацией. Однако сегодня им всё чаще приходится конкурировать с новыми игроками — анонимными каналами, блогами и другими площадками, которые способны собирать многомиллионную аудиторию сразу в нескольких странах.

При этом далеко не всегда понятно, кто именно стоит за такими ресурсами.

«Мы не всегда знаем, кто стоит за конкретным аккаунтом в том или ином мессенджере, в той или иной соцсети, даже если он имеет многомиллионную аудиторию», — заявила Ларина.

По мнению Минцифры, такая ситуация создаёт дополнительные риски для информационной безопасности. Поэтому вопрос идентификации авторов крупных интернет-ресурсов рассматривается не только как проблема регулирования медиа, но и как элемент государственной безопасности.

Заявление прозвучало на медиафоруме государств — членов Шанхайской организации сотрудничества, который проходит на Иссык-Куле. В мероприятии участвуют представители более 25 официальных делегаций стран ШОС.

Фактически речь идёт о продолжении курса на повышение прозрачности цифрового пространства. Пока конкретные новые меры не озвучиваются, однако сам сигнал выглядит вполне однозначно: эпоха полной анонимности в интернете нравится регуляторам всё меньше.

RSS: Новости на портале Anti-Malware.ru