Se ha detectado TCLBANKER, un troyano bancario brasileño que ataca 59 plataformas financieras y de criptomonedas. El malware utiliza técnicas avanzadas de evasión, se propaga mediante WhatsApp Web y Outlook, y emplea pantallas falsas para robar credenciales. Sus capacidades incluyen control remoto del sistema, captura de pantalla y keyloggers para extraer datos sensibles.





Los cazadores de amenazas han detectado un troyano bancario brasileño previamente indocumentado llamado TCLBANKER, capaz de atacar 59 plataformas bancarias, fintech y de criptomonedas.

La actividad está siendo rastreada por Elastic Security Labs bajo el nombre REF3076. Se estima que la familia de malware es una actualización importante de Maverick, que es conocido por aprovechar un gusano llamado SORVEPOTEL para propagarse a través de WhatsApp Web a los contactos de la víctima. La campaña de Maverick se atribuye a un grupo de amenazas que Trend Micro denomina Water Saci.

En el núcleo de la cadena de ataque se encuentra un cargador con robustas capacidades de antianálisis que despliega dos módulos integrados: un troyano bancario completo y un componente de gusano que utiliza WhatsApp y Microsoft Outlook para su propagación.

"La cadena de infección observada agrupa un instalador MSI malicioso dentro de un archivo ZIP", afirmaron los investigadores de seguridad Jia Yu Chan, Daniel Stepanic, Seth Goodwin y Terrance DeJesus en este informe. "Estos paquetes de instalación MSI abusan de un programa firmado de Logitech llamado Logi AI Prompt Builder".

El malware utiliza el DLL side-loading contra la aplicación para lanzar una DLL maliciosa ("screen_retriever_plugin.dll"), que funciona como un cargador con un "subsistema de vigilancia integral" que vigila continuamente la presencia de herramientas de análisis, sandboxes, depuradores, desensambladores, herramientas de instrumentación y software antivirus para evadir la detección.

Específicamente, la DLL maliciosa solo se ejecutará si fue cargada por "logiaipromptbuilder.exe" (el programa de Logitech) o "tclloader.exe" (probablemente una referencia a un ejecutable utilizado durante las pruebas). También elimina cualquier hook de modo usuario colocado por el software de seguridad de endpoint dentro de "ntdll.dll" reemplazando la librería y desactiva la telemetría de Event Tracing for Windows (ETW).

Además, el malware genera tres huellas digitales basadas en comprobaciones de anti-depuración y anti-virtualización, comprobaciones de información del disco del sistema y comprobaciones de idioma, utilizándolas para crear un valor de hash de entorno que se usa para desencriptar la carga útil integrada. La comprobación del idioma del sistema asegura que el idioma predeterminado del usuario sea el portugués brasileño.

"Por ejemplo, si hay un depurador presente, producirá un hash incorrecto, por lo que cuando el malware intente derivar las claves de descifrado a partir del hash, la carga útil no se descifrará correctamente y TCLBANKER dejará de ejecutarse", explicó Elastic.

El componente principal lanzado tras estas comprobaciones es el troyano bancario que verifica una vez más si se está ejecutando en un sistema brasileño y luego procede a establecer la persistencia mediante una tarea programada. Posteriormente, se comunica con un servidor externo mediante una solicitud HTTP POST que contiene información básica del sistema.

TCLBANKER también incorpora un mecanismo de autodescarga y un monitor de URL que extrae la URL actual de la barra de direcciones del navegador en primer plano mediante UI Automation. Este paso se dirige a navegadores populares como Google Chrome, Mozilla Firefox, Microsoft Edge, Brave, Opera y Vivaldi.

La URL extraída se coteja con una lista predefinida de instituciones financieras objetivo. Si hay una coincidencia, establece una conexión WebSocket con un servidor remoto y entra en un bucle de despacho de comandos, permitiendo al operador realizar una amplia gama de tareas:

* Ejecutar comandos de shell
* Capturar capturas de pantalla
* Iniciar/detener la transmisión de pantalla
* Manipular el portapapeles
* Lanzar un keylogger
* Controlar remotamente el ratón/teclado
* Gestionar archivos y procesos
* Enumerar procesos en ejecución
* Listar ventanas visibles
* Servir superposiciones falsas para el robo de credenciales

Para llevar a cabo el robo de datos, TCLBANKER se apoya en un marco de superposición de pantalla completa basado en Windows Presentation Foundation (WPF) para realizar ingeniería social mediante solicitudes de recolección de credenciales, pantallas de espera de vishing, barras de progreso falsas y actualizaciones falsas de Windows, todo mientras oculta las superposiciones a las herramientas de captura de pantalla.

Al mismo tiempo, el cargador invoca el módulo de gusano para propagar el troyano mediante mensajes de spam y phishing a escala. Emplea un enfoque doble que implica un gusano de WhatsApp Web que secuestra sesiones de navegador autenticadas y un bot de correo electrónico de Outlook que abusa de Microsoft Outlook para enviar correos falsos a los contactos de la víctima.

Al igual que en el caso de SORVEPOTEL, el gusano de WhatsApp recupera una plantilla de mensajería del servidor y aprovecha el proyecto de código abierto WPPConnect para automatizar el envío de mensajes a otros usuarios, filtrando grupos, difusiones y números que no sean brasileños.

El agente de Outlook, por otro lado, es un spambot de correo electrónico que abusa de la aplicación Microsoft Outlook instalada de la víctima para enviar correos de phishing desde la dirección de correo de la víctima, eludiendo así los filtros de spam y otorgando a los mensajes una ilusión de confianza.

"TCLBANKER refleja una maduración más amplia que está ocurriendo en todo el ecosistema de troyanos bancarios brasileños", concluyó Elastic. "Técnicas que alguna vez fueron la marca distintiva de actores de amenazas más sofisticados: descifrado de carga útil restringido por entorno, generación directa de syscalls, orquestación de ingeniería social en tiempo real sobre WebSocket, ahora se están empaquetando en crimeware genérico".

"La campaña hereda la confianza y la capacidad de entrega de las comunicaciones legítimas al secuestrar las sesiones de WhatsApp y las cuentas de Outlook de las víctimas. Este es un modelo de distribución que las puertas de enlace de correo electrónico tradicionales y las defensas basadas en la reputación no están equipadas para capturar".

Fuente:
THN