„WhatsApp Worm“ skleidžia „Eternidade Stealer Banking Trojos arklys“ Brazilijoje

Brazilijos kriptovaliutų turėtojai raginami ieškoti sudėtingos įsilaužimo kampanijos, apimančios užgrobimo kirminą ir banko Trojos arklį, bendrinamą per WhatsApp pranešimus.

Remiantis nauja „Trustwave“ kibernetinio saugumo tyrimų grupės „SpiderLabs“ ataskaita, bankinis Trojos arklys, žinomas kaip „Eternidade Stealer“, per socialinę inžineriją stumiamas pranešimų siuntimo programoje WhatsApp, pvz., „netikros vyriausybės programos, pristatymo pranešimai“, draugų ir nesąžiningų investicijų grupių pranešimai.

„WhatsApp ir toliau yra vienas iš labiausiai išnaudojamų komunikacijos kanalų Brazilijos kibernetinių nusikaltimų ekosistemoje. Per pastaruosius dvejus metus grėsmių veikėjai patobulino savo taktiką, pasinaudodami didžiuliu platformos populiarumu platindami bankininkų trojos arklys ir informaciją vagiančias kenkėjiškas programas”, – sakė „Spiderlabs” tyrėjai Nathanielas.

Paaiškinant procesą Laymano terminais, „WhatsApp“ spustelėjus kirmino nuorodą, prasideda grandininė reakcija, kuri užkrečia auką ir kirminu, ir banko Trojos arklys.

Kirminas užgrobia paskyrą ir gauna aukos kontaktų sąrašą. Jis naudoja „išmanųjį filtravimą“, kad nepaisytų verslo kontaktų ir grupių, kad būtų galima nukreipti atskirus kontaktus, kad procesas būtų efektyvesnis.

Tuo tarpu bankinis Trojos arklys yra failas, automatiškai atsisiunčiamas į aukos įrenginį, kuris fone įdiegia Eternidade Stealer, kuris gali nuskaityti finansinius duomenis ir prisijungimus prie įvairių Brazilijos bankų ir fintech ar kriptovaliutų biržų bei piniginių.

Susiję: Kripto privataus rakto vagystė dabar yra didelis verslas: štai ką reikia žinoti

Kenkėjiška programa taip pat turi protingą būdą išvengti aptikimo ar išjungimo. Užuot turėjęs fiksuotą serverio adresą, jis naudoja iš anksto nustatytą „Gmail“ paskyrą, kad el. paštu patikrintų, ar nėra naujų komandų. Tai leidžia įsilaužėliams pakeisti komandas siunčiant naujus el.

„Viena pastebimų šios kenkėjiškos programos ypatybių yra ta, kad prisijungdama prie savo el. pašto paskyros, iš kurios ji gauna savo C2 serverį, ji naudoja užkoduotus kredencialus. Tai labai protingas būdas atnaujinti savo C2, išlaikyti pastovumą ir išvengti aptikimo ar pašalinimo tinklo lygiu. Jei kenkėjiška programa negali prisijungti prie el. pašto paskyros, ji naudoja užkoduotą atsarginį C2 adresą.

Remiantis kriptovaliutų analizės platformos „Chainalysis“ duomenimis, Brazilija yra didžiausia kriptovaliutų įsisavinimo šalis Lotynų Amerikoje ir užima penktą vietą įmonės 2025 m. Pasaulinio kriptovaliutų priėmimo indekso 20-uke.

Indeksas pagrįstas įvairių šalių kriptovaliutų paslaugų naudojimu ir atsižvelgiama į kitus veiksnius, įskaitant gyventojų skaičių ir perkamąją galią.

Kaip išlikti saugiems

Programų, tokių kaip „WhatsApp“, naudotojams patariama atsargiai elgtis su bet kokia jiems siunčiama nuoroda, net jei ji yra iš patikimo kontakto.

Naudinga taktika gali būti pranešimo jiems perkėlimas į atskirą programą, siekiant patvirtinti, ar nuoroda yra tinkama, ir įtarti, kad nuoroda atsiųsta netikėtai su ribotu kontekstu.