Investigadores han revelado una nueva campaña de ciberataques que emplea combinaciones de ingeniería social y secuestro de WhatsApp Web para distribuir un troyano bancario llamado Eternidade Stealer. Esta actividad se dirige principalmente a usuarios en Brasil.
Uso del protocolo IMAP para comunicación con el servidor C2
El gusano utilizado en la campaña emplea el Protocolo de Acceso a Mensajes de Internet (IMAP) para obtener dinámicamente direcciones de comando y control (C2), permitiendo al atacante actualizar su servidor C2. Los investigadores de Trustwave SpiderLabs explicaron este mecanismo en un análisis técnico.
Relación con otras campañas previas
Estos hallazgos se producen poco después de la campaña denominada Water Saci, que atacó a usuarios brasileños mediante el gusano SORVEPOTEL. Este último sirve como conducto para el troyano bancario Maverick, considerado una evolución del malware Coyote.
Ataques hiperlocalizados y uso de Delphi
El grupo Eternidade Stealer forma parte de una actividad más amplia que aprovecha la presencia de WhatsApp en Brasil para comprometer sistemas. Los ciberdelincuentes prefieren malware basado en Delphi, debido a su eficiencia técnica y al uso previo del lenguaje en la región.
Proceso de infección
El ataque comienza con un script ofuscado de Visual Basic, que genera un archivo BAT para distribuir dos cargas útiles. Una de ellas es un script de Python que propaga el malware a través de WhatsApp Web, mientras que la otra es un instalador MSI que ejecuta Eternidade Stealer mediante un script de AutoIt.
Automatización del envío de mensajes
El script de Python utiliza el proyecto WPPConnect para automatizar el envío de mensajes a cuentas comprometidas. Recopila la lista completa de contactos, filtrando grupos y listas de difusión.
Distribución del malware mediante WhatsApp
El malware captura información de los contactos, como número de teléfono, nombre e indicadores de guardado, y envía esta data al servidor del atacante. Finalmente, se envía un archivo adjunto malicioso a todos los contactos con una plantilla de mensajería.
Verificación geográfica y persistencia
El instalador MSI verifica si el sistema está en Brasil, comprobando que el idioma del sistema operativo sea portugués brasileño. De no ser así, el malware se autoelimina. Posteriormente, analiza procesos en ejecución y claves del registro para determinar la presencia de productos de seguridad.
Inyección del troyano
El ataque culmina con la inyección de Eternidade Stealer en el proceso svchost.exe mediante la técnica de process hollowing. El malware analiza ventanas activas y procesos para buscar cadenas relacionadas con portales bancarios, servicios de pago y plataformas criptográficas.
Comunicación con servidor C2
Eternidade Stealer se conecta a un servidor C2 mediante una bandeja de entrada vinculada a la dirección de correo electrónico terra.com.br. Si no puede conectar, utiliza una dirección C2 de respaldo integrada en el código fuente.
Monitoreo y control del ataque
Trustwave reveló que la infraestructura del atacante incluye dos paneles: uno para gestionar el sistema de redireccionamiento y otro de inicio de sesión, probablemente utilizado para monitorizar los equipos infectados. El sistema solo permite acceso a equipos ubicados en Brasil y Argentina.
Alerta sobre actividad sospechosa
Aunque la familia de malware y los vectores de distribución son principalmente brasileños, el posible alcance operativo es global. Los profesionales de ciberseguridad deben estar alerta ante actividades sospechosas en WhatsApp, ejecuciones inesperadas de MSI o scripts, e indicadores relacionados con esta campaña.