تروجان بانکی TCLBANKER پلتفرم‌های مالی را از طریق کرم‌های واتس‌اپ و اوت‌لوک هدف قرار می‌دهد

محققان امنیتی شرکت Elastic Security Labs یک تروجان بانکی برزیلی ناشناخته به نام TCLBANKER را شناسایی کرده‌اند که قادر است ۵۹ پلتفرم بانکی، فین‌تک (fintech) و ارز دیجیتال را هدف قرار دهد. این بدافزار که تحت نام REF3076 ردیابی می‌شود، نسخه پیشرفته‌ای از خانواده بدافزار Maverick ارزیابی شده و از طریق یک نصب‌کننده مخرب MSI درون فایل ZIP منتشر می‌شود که از یک برنامه معتبر امضاشده لاجیتک (Logitech) به نام «Logi AI Prompt Builder» سوءاستفاده می‌کند. این بدافزار با بهره‌گیری از تکنیک بارگذاری جانبی DLL (DLL side-loading)، قابلیت‌های ضد تحلیل گسترده‌ای دارد، از جمله غیرفعال‌سازی ردیابی رویدادهای ویندوز (ETW)، حذف قلاب‌های امنیتی در ntdll.dll، و رمزگذاری محیطی (environment-gated encryption) که اجرای بدافزار را منحصراً در سیستم‌های با زبان پرتغالی برزیلی ممکن می‌سازد.

TCLBANKER از یک رویکرد دوگانه برای انتشار استفاده می‌کند: کرم واتس‌اپ (WhatsApp worm) که نشست‌های احراز هویت‌شده مرورگر را ربوده و پیام‌های مخرب را به مخاطبان قربانی ارسال می‌کند، و یک ربات ایمیل اوت‌لوک (Outlook email bot) که با سوءاستفاده از حساب ایمیل قربانی، پیام‌های فیشینگ را از آدرس معتبر وی برای تا ۳٬۰۰۰ مخاطب ارسال می‌کند و بدین ترتیب فیلترهای اسپم را دور می‌زند. این بدافزار همچنین دارای قابلیت‌هایی نظیر پوشش‌های تمام‌صفحه برای سرقت اعتبارنامه (credential harvesting overlays)، کی‌لاگر (keylogger)، کنترل از راه دور و به‌روزرسانی خودکار است. Elastic هشدار داده که این کمپین هنوز در مراحل اولیه عملیاتی قرار دارد و احتمالاً در آینده تکامل بیشتری خواهد یافت.