Le cheval de Troie bancaire CHAVECLOAK cible le Brésil
Le cheval de Troie bancaire CHAVECLOAK, une nouvelle cybermenace, propage son infection via le phishing par SMS (SMishing), les e-mails de phishing et les sites Web compromis.
FortiGuard Labs, une équipe de recherche en cybersécurité, a identifié un cheval de Troie de haute gravité appelé CHAVECLOAK qui cible spécifiquement les utilisateurs des banques brésiliennes. Ce malware est conçu pour les appareils Windows et infiltre les plateformes bancaires en ligne, extrayant les informations d'identification bancaires et les données financières.
Bien que l'enquête sur la méthode d'infection CHAVECLOAK soit en cours, les chercheurs soupçonnent que les canaux de distribution potentiels incluent les e-mails de phishing, le phishing par SMS et les sites Web compromis.
Selon un article de blog de l'entreprise, la campagne implique des courriels malveillants se faisant passer pour des communications bancaires légitimes, incitant les utilisateurs à télécharger des logiciels malveillants. Il cible spécifiquement les utilisateurs ayant des paramètres de langue portugaise, en utilisant des techniques telles que le chargement latéral de DLL et les fenêtres contextuelles trompeuses. Le cheval de Troie surveille activement les interactions des utilisateurs avec les portails financiers.
Le chargement latéral de DLL présente un risque de sécurité important car il permet aux logiciels malveillants d'exploiter des processus légitimes sans éveiller les soupçons.
Mode d'infiltration de CHAVECLOAK
Le malware prend le contrôle des appareils des victimes et acquiert des informations financières sensibles via un fichier PDF malveillant déguisé en documents contractuels en portugais. Le PDF contient un lien de téléchargement malveillant traité via Goo.su, menant à un fichier ZIP, aboutissant finalement au fichier MSI « NotafiscalGFGJKHKHGUURTURTF345.msi ».
Lors de la décompression, le programme d'installation MSI révèle plusieurs fichiers TXT, un fichier d'exécution légitime et une DLL malveillante nommée "Lightshot.dll". Le programme d'installation exécute le fichier « Lightshot.exe » à l'aide de techniques de chargement latéral de DLL, permettant l'exécution discrète du code malveillant et des activités non autorisées comme le vol de données.
De plus, le logiciel malveillant utilise le processus « GetVolumeInformationW » pour collecter des informations sur le système de fichiers et le volume, génère un fichier journal et exécute « Lightshot.exe » lors de la connexion de l'utilisateur. Il envoie des requêtes HTTP, enregistre les données et surveille la fenêtre de premier plan à l'aide des API « GetForegroundWindow » et « GetWindowTextW ».
Le cheval de Troie communique avec son serveur C2, facilitant des actions telles que le vol d'informations d'identification, le blocage d'écrans, l'enregistrement des frappes au clavier et l'affichage de fenêtres pop-up trompeuses.
Le malware surveille notamment activement l’accès aux portails financiers, notamment Mercado Bitcoin, le plus grand échange de devises numériques au Brésil et en Amérique latine, qui englobe à la fois les plateformes conventionnelles et de crypto-monnaie et les banques traditionnelles.
Les informations volées sont téléchargées via différents chemins à mesure que le logiciel malveillant configure les détails du compte et envoie une requête POST, mettant en évidence la sophistication des chevaux de Troie bancaires contemporains.
