Les chercheurs d'ESET ont découvert des dizaines de sites Web imitant Telegram et WhatsApp ciblant principalement les utilisateurs d'Android et de Windows avec des versions trojanisées de ces applications de messagerie instantanée. La plupart des applications malveillantes que nous avons identifiées sont des clippers, un type de logiciel malveillant qui vole ou modifie le contenu du presse-papiers. Tous sont après les fonds de crypto-monnaie des victimes, avec plusieurs ciblant les portefeuilles de crypto-monnaie. C'était la première fois que nous voyions des tondeuses Android se concentrer spécifiquement sur la messagerie instantanée. De plus, certaines de ces applications utilisent la reconnaissance optique de caractères (OCR) pour reconnaître le texte des captures d'écran stockées sur les appareils compromis, ce qui est une autre première pour les logiciels malveillants Android.

Avant la mise en place de la Alliance de défense des applications, nous avons découvert la première tondeuse Android sur Google Play, ce qui a conduit Google à améliorer la sécurité d'Android en restreindre opérations du presse-papiers à l'échelle du système pour les applications exécutées en arrière-plan pour les versions Android 10 et supérieures. Comme le montrent malheureusement nos dernières découvertes, cette action n'a pas réussi à éliminer complètement le problème : non seulement nous avons identifié les premiers clippers de messagerie instantanée, mais nous en avons découvert plusieurs clusters. Le but principal des clippers que nous avons découverts est d'intercepter les communications de messagerie de la victime et de remplacer toutes les adresses de portefeuille de crypto-monnaie envoyées et reçues par des adresses appartenant aux attaquants. En plus des applications WhatsApp et Telegram Android trojanisées, nous avons également trouvé des versions Windows trojanisées des mêmes applications.

Bien sûr, ce ne sont pas les seules applications imitatrices à s'attaquer aux crypto-monnaies - juste au début de 2022, nous identifié les acteurs de la menace se sont concentrés sur le reconditionnement d'applications de crypto-monnaie légitimes qui tentent de voler des phrases de récupération dans les portefeuilles de leurs victimes.

Aperçu des applications cheval de Troie

En raison de l'architecture différente de Telegram et WhatsApp, les acteurs de la menace ont dû choisir une approche différente pour créer des versions trojanisées de chacun des deux. Étant donné que Telegram est une application open source, il est relativement simple de modifier son code tout en conservant intacte la fonctionnalité de messagerie de l'application. D'autre part, le code source de WhatsApp n'est pas accessible au public, ce qui signifie qu'avant de reconditionner l'application avec du code malveillant, les acteurs de la menace devaient d'abord effectuer une analyse approfondie des fonctionnalités de l'application pour identifier les endroits spécifiques à modifier.

Bien qu'elles servent le même objectif général, les versions trojanisées de ces applications contiennent diverses fonctionnalités supplémentaires. Pour une meilleure facilité d'analyse et d'explication, nous avons divisé les applications en plusieurs clusters en fonction de ces fonctionnalités ; dans cet article de blog, nous décrirons quatre clusters de clippers Android et deux clusters d'applications Windows malveillantes. Nous n'entrerons pas dans les acteurs de la menace derrière les applications, car il y en a plusieurs.

Avant de décrire brièvement ces clusters d'applications, qu'est-ce qu'un clipper et pourquoi les cybervoleurs en utiliseraient-ils un ? En gros, dans les cercles de logiciels malveillants, un clipper est un morceau de code malveillant qui copie ou modifie le contenu du presse-papiers d'un système. Les clippers sont donc attrayants pour les cybercriminels intéressés par le vol de crypto-monnaie car les adresses des portefeuilles de crypto-monnaie en ligne sont composées de longues chaînes de caractères, et au lieu de les taper, les utilisateurs ont tendance à copier et coller les adresses à l'aide du presse-papiers. Un clipper peut en profiter en interceptant le contenu du presse-papiers et en remplaçant subrepticement toutes les adresses de portefeuille de crypto-monnaie par une adresse à laquelle les voleurs peuvent accéder.

Le cluster 1 des clippers Android constitue également la première instance de malware Android utilisant l'OCR pour lire le texte des captures d'écran et des photos stockées sur l'appareil de la victime. L'OCR est déployé afin de trouver et de voler une phrase de départ, qui est un code mnémonique composé d'une série de mots utilisés pour récupérer des portefeuilles de crypto-monnaie. Une fois que les acteurs malveillants ont mis la main sur une phrase de départ, ils sont libres de voler toute la crypto-monnaie directement depuis le portefeuille associé.

Comparé à l'utilisation de la technologie de pointe par le cluster 1, le cluster 2 est très simple. Ce logiciel malveillant remplace simplement l'adresse du portefeuille de crypto-monnaie de la victime par l'adresse de l'attaquant dans la communication par chat, les adresses étant soit codées en dur, soit extraites dynamiquement du serveur de l'attaquant. Il s'agit du seul cluster Android où nous avons identifié des échantillons WhatsApp troyens en plus de Telegram.

Le cluster 3 surveille la communication Telegram pour certains mots-clés liés aux crypto-monnaies. Une fois qu'un tel mot-clé est reconnu, le logiciel malveillant envoie le message complet au serveur de l'attaquant.

Enfin, les clippers Android du cluster 4 changent non seulement l'adresse du portefeuille de la victime, mais ils exfiltrent également les données internes de Telegram et les informations de base sur l'appareil.

Concernant le malware Windows, il y avait un cluster de clippers de crypto-monnaie Telegram dont les membres interceptent et modifient simplement les messages Telegram afin de changer d'adresse de portefeuille de crypto-monnaie, tout comme le deuxième cluster de clippers Android. La différence réside dans le code source de la version Windows de Telegram, qui a nécessité une analyse supplémentaire de la part des acteurs malveillants, pour pouvoir implémenter la saisie de leur propre adresse de portefeuille.

Contrairement au modèle établi, le deuxième cluster Windows n'est pas composé de clippers, mais de chevaux de Troie d'accès à distance (RAT) qui permettent un contrôle total du système de la victime. De cette façon, les RAT sont capables de voler des portefeuilles de crypto-monnaie sans intercepter le flux d'application.

Distribution

Sur la base du langage utilisé dans les applications de copie, il semble que les opérateurs derrière eux ciblent principalement les utilisateurs de langue chinoise.

Parce que Telegram et WhatsApp sont bloqués en Chine depuis plusieurs années maintenant, Telegram étant bloqué depuis 2015 et WhatsApp depuis 2017, les personnes qui souhaitent utiliser ces services doivent recourir à des moyens indirects pour les obtenir. Sans surprise, cela constitue une opportunité pour les cybercriminels d'abuser de la situation.

Dans le cas des attaques décrites dans cet article de blog, les acteurs de la menace ont d'abord configuré Google Ads menant à des chaînes YouTube frauduleuses, qui redirigent ensuite les spectateurs malheureux vers les sites Web Telegram et WhatsApp, comme illustré à la figure 1. En plus de cela, un un groupe Telegram particulier a également annoncé une version malveillante de l'application qui prétendait avoir un service proxy gratuit en dehors de la Chine (voir Figure 2). Lorsque nous avons découvert ces publicités frauduleuses et les chaînes YouTube associées, nous les avons signalées à Google, qui les a rapidement toutes fermées.

Figure 1. Diagramme de distribution

Figure 2. Application Telegram protégée par un cheval de Troie proposée dans le groupe Telegram

À première vue, il peut sembler que la distribution de ces applications imitatrices est assez compliquée. Cependant, il est possible qu'avec Telegram, WhatsApp et l'application Google Play bloqués en Chine, les utilisateurs d'Android aient l'habitude de franchir plusieurs étapes s'ils souhaitent obtenir des applications officiellement indisponibles. Les cybercriminels en sont conscients et essaient de piéger leurs victimes dès le départ – lorsque la victime recherche sur Google une application WhatsApp ou Telegram à télécharger. Les acteurs de la menace ont acheté des annonces Google (voir la figure 3) qui redirigent vers YouTube, ce qui aide les attaquants à atteindre le haut des résultats de recherche et évite également que leurs faux sites Web soient signalés comme des escroqueries, car les annonces renvoient à un service légitime qui Google Ads considère vraisemblablement très digne de confiance.

Figure 3. Publicité payante lors de la recherche de Chinese Telegram

Les liens vers les sites Web copiés se trouvent généralement dans la section "À propos" des chaînes YouTube. Un exemple d'une telle description peut être vu dans une traduction très approximative à la figure 4.

Figure 4. Chaîne YouTube WhatsApp frauduleuse qui pointe vers un faux site Web

Au cours de nos recherches, nous avons trouvé des centaines de chaînes YouTube pointant vers des dizaines de sites Web Telegram et WhatsApp contrefaits - certains peuvent être vus dans la figure 5. Ces sites se font passer pour des services légitimes (voir la figure 6) et fournissent des versions de bureau et mobiles de l'application à télécharger. . Aucune des applications analysées n'était disponible sur le Google Play Store.

Figure 5. Fausses chaînes disponibles sur YouTube

Figure 6. Sites Web imitant Telegram et WhatsApp

Analyse

Nous avons trouvé divers types de codes malveillants reconditionnés avec des applications Telegram et WhatsApp légitimes. Alors que les applications analysées ont vu le jour plus ou moins en même temps en utilisant un modèle très similaire, il semble qu'elles n'aient pas toutes été développées par le même acteur de la menace. Outre la plupart des applications malveillantes pouvant remplacer les adresses de crypto-monnaie dans les communications Telegram et WhatsApp, il n'y a aucune indication de nouvelles connexions entre elles.

Alors que les faux sites Web proposent des liens de téléchargement pour tous les systèmes d'exploitation où Telegram et WhatsApp sont disponibles, tous les liens Linux et macOS, ainsi que la plupart des liens iOS, redirigent vers les sites Web officiels des services. Dans le cas des quelques liens iOS qui mènent à des sites Web frauduleux, les applications n'étaient plus disponibles au téléchargement au moment de notre analyse. Les utilisateurs de Windows et d'Android constituent ainsi les principales cibles des attaques.

Chevaux de Troie Android

L'objectif principal des applications Android trojanisées est d'intercepter les messages de chat des victimes et soit d'échanger les adresses de portefeuille de crypto-monnaie pour celles appartenant aux attaquants, soit d'exfiltrer des informations sensibles qui permettraient aux attaquants de voler les fonds de crypto-monnaie des victimes. C'est la première fois que nous voyons des clippers qui ciblent spécifiquement la messagerie instantanée.

Pour pouvoir modifier les messages, les acteurs de la menace ont dû analyser en profondeur le code original des applications des deux services. Telegram étant une application open source, les cybercriminels n'avaient qu'à insérer leur propre code malveillant dans une version existante et à le compiler ; dans le cas de WhatsApp, cependant, le binaire a dû être modifié directement et reconditionné pour ajouter la fonctionnalité malveillante.

Nous avons observé que lors du remplacement des adresses de portefeuille, les applications cheval de Troie pour Telegram se comportent différemment de celles de WhatsApp. Une victime utilisant une application Telegram malveillante continuera à voir l'adresse d'origine jusqu'à ce que l'application soit redémarrée, après quoi l'adresse affichée sera celle qui appartient à l'attaquant. En revanche, la propre adresse de la victime sera visible dans les messages envoyés si vous utilisez un WhatsApp infecté par un cheval de Troie, tandis que le destinataire du message recevra l'adresse de l'attaquant. Ceci est illustré à la figure 7.

Figure 7. WhatsApp malveillant (à gauche) a remplacé l'adresse de portefeuille envoyée dans le message du destinataire (à droite)

Cluster 1

Le cluster 1 est le plus intrigant, puisque ses membres constituent le premier cas connu d'abus d'OCR dans n'importe quel malware Android. Dans ce cas, les applications Telegram protégées par un cheval de Troie utilisent un plug-in d'apprentissage automatique légitime appelé Kit ML sur Android pour rechercher sur l'appareil de la victime des images avec . Jpg ainsi que le . Png extensions, les formats de capture d'écran les plus courants sur Android. Le logiciel malveillant recherche des captures d'écran de phrases de récupération de portefeuille de crypto-monnaie (également appelées mnémoniques) que la victime aurait pu conserver sur l'appareil en tant que sauvegarde.

Fonctionnalité malveillante qui parcourt les fichiers sur l'appareil et les exécute via l'OCR ReconnaîtreTexte fonction est visible sur la figure 8.

Figure 8. Code malveillant responsable de la récupération des images et des photos de l'appareil et de leur OCR

Comme le montre la figure 9, si le ReconnaîtreTexte trouve la chaîne mnémonique or Phrase mnémonique (mnémonique en chinois) dans le texte extrait de l'image, il envoie à la fois le texte et l'image au serveur C&C. Dans certains cas, nous avons vu la liste des mots clés étendue à onze entrées, en particulier 助记词, Mnémonique, mémorisation, Mémorisation, phrase de récupération, Phrase de récupération, portefeuille, MÉTAMASKA, Phrase, secret, Phrase de récupération.

Figure 9. L'image et le texte reconnu qu'elle contient sont envoyés au serveur C&C de l'attaquant

Cluster 2

Contrairement au cluster 1, qui utilise des méthodes avancées pour faciliter ses activités malveillantes, le deuxième cluster de clippers Android est le moins compliqué des quatre : ces applications malveillantes échangent simplement des adresses de portefeuille, sans autre fonctionnalité malveillante. Les chevaux de Troie du groupe 2 remplacent principalement les adresses des portefeuilles de pièces Bitcoin, Ethereum et TRON, certains d'entre eux pouvant également changer de portefeuille pour Monero et Binance. La façon dont les messages sont interceptés et modifiés peut être vue dans les figures 10 et 11.

Figure 10. Interception de message Telegram par un code malveillant

Figure 11. Code malveillant responsable du remplacement des adresses de portefeuille dans les messages Telegram

Le cluster 2 est le seul cluster Android où nous avons trouvé non seulement Telegram, mais également des échantillons WhatsApp. Les deux types d'applications protégées par un cheval de Troie ont soit une liste codée en dur des adresses de portefeuille des attaquants (comme illustré à la figure 11), soit les demandent dynamiquement à un serveur C&C, comme illustré à la figure 12.

Figure 12. Adresses de portefeuille Bitcoin, Ethereum et TRON reçues du serveur C&C

Cluster 3

Ce cluster surveille la communication Telegram pour des mots-clés particuliers en chinois, tels que "mnémonique", "banque", "adresse", "compte" et "Yuan". Certains des mots clés sont codés en dur, tandis que d'autres sont reçus du serveur C&C, ce qui signifie qu'ils peuvent être modifiés ou étendus à tout moment. Une fois qu'un clipper du cluster 3 reconnaît un mot-clé, le message entier, ainsi que le nom d'utilisateur, le groupe ou le nom du canal, est envoyé au serveur C&C, comme le montre la figure 13.

Figure 13. Clipper exfiltre un message si un mot-clé a été détecté

Cluster 4

Le dernier groupe identifié de clippers Android, le groupe 4, peut non seulement remplacer les adresses de crypto-monnaie, mais également exfiltrer les données Telegram de la victime en obtenant leurs fichiers de configuration, leur numéro de téléphone, les informations sur l'appareil, les photos, le nom d'utilisateur Telegram et la liste des applications installées. La connexion à ces versions malveillantes de l'application Telegram signifie que toutes les données internes personnelles qui y sont stockées, telles que les messages, les contacts et les fichiers de configuration, deviennent visibles pour les acteurs de la menace.

Pour le démontrer, concentrons-nous sur l'application cheval de Troie la plus intrusive de ce cluster : ce logiciel malveillant parcourt le stockage interne de Telegram pour tous les fichiers inférieurs à 5.2 Mo et sans. Jpg extension et les vole. De plus, il peut également exfiltrer des informations de base sur l'appareil, la liste des applications installées et les numéros de téléphone. Tous les fichiers volés sont archivés dans un info.zip fichier, qui est ensuite exfiltré vers le C&C. Tous les logiciels malveillants de ce cluster utilisent le même nom de fichier ZIP, suggérant un auteur ou une base de code commune. La liste des fichiers exfiltrés de notre dispositif d'analyse est visible sur la Figure 14.

Figure 14. Fichiers utilisateur Private Telegram exfiltrés vers le serveur C&C

Chevaux de Troie Windows

Contrairement aux applications Android trojanisées que nous avons découvertes, les versions Windows se composent non seulement de clippers, mais aussi de chevaux de Troie d'accès à distance. Alors que les clippers se concentrent principalement sur le vol de chiffrement, les RAT sont capables d'une plus grande variété d'actions malveillantes telles que la prise de captures d'écran et la suppression de fichiers. Certains d'entre eux peuvent également manipuler le presse-papiers, ce qui leur permettrait de voler des portefeuilles de crypto-monnaie. Les applications Windows ont été trouvées dans les mêmes domaines que les versions Android.

Clippers de crypto-monnaie

Nous avons découvert deux exemples de clippers de crypto-monnaie Windows. Tout comme le cluster 2 des clippers Android, ceux-ci interceptent et modifient les messages envoyés via un client Telegram infecté par un cheval de Troie. Ils utilisent les mêmes adresses de portefeuille que le cluster Android, ce qui signifie qu'ils proviennent très probablement du même acteur menaçant.

Le premier des deux échantillons de clipper est distribué sous la forme d'un exécutable portable avec toutes les dépendances et informations nécessaires intégrées directement dans son binaire. De cette façon, aucune installation n'a lieu après l'exécution du programme malveillant, ce qui empêche la victime de savoir que quelque chose ne va pas. Le logiciel malveillant intercepte non seulement les messages entre les utilisateurs, mais également tous les messages, canaux et groupes enregistrés.

Semblable au cluster Android 2 associé, le code responsable de la modification des messages utilise des modèles codés en dur pour identifier les adresses de crypto-monnaie à l'intérieur des messages. Celles-ci sont surlignées en jaune dans la Figure 15. S'il est trouvé, le code remplace les adresses d'origine par les adresses correspondantes appartenant à l'attaquant (surlignées en rouge). Ce clipper se concentre sur Bitcoin, Ethereum et TRON.

Figure 15. Code décompilé avec des modèles codés en dur et des adresses de portefeuille

Le deuxième clipper utilise un processus d'installation standard, identique au programme d'installation légitime de Telegram. Cependant, même si le processus semble apparemment innocent, l'exécutable installé est loin d'être bénin. Par rapport au télégramme légitime, il contient deux fichiers supplémentaires cryptés à l'aide d'un chiffrement XOR à un octet avec la clé 0xff. Les fichiers contiennent une adresse de serveur C&C et un ID d'agent utilisé pour communiquer avec le C&C.

Cette fois, aucune adresse codée en dur n'est utilisée. Au lieu de cela, le clipper obtient à la fois les modèles de message et les adresses de portefeuille de crypto-monnaie correspondantes du C&C via une requête HTTP POST. La communication avec le C&C fonctionne de la même manière que celle illustrée dans le cluster 2 des clippers Android (Figure 12).

En plus d'échanger les adresses de portefeuille de crypto-monnaie, ce clipper peut également voler le numéro de téléphone de la victime et les informations d'identification Telegram. Lorsqu'une personne compromise par cette application trojanisée tente de se connecter sur un nouvel appareil, elle est invitée à entrer le code de connexion envoyé à son compte Telegram. Une fois le code arrivé, la notification est automatiquement interceptée par le logiciel malveillant, et le code de vérification ainsi que le mot de passe facultatif se retrouvent entre les mains des acteurs de la menace.

Semblable au premier échantillon de clipper Windows, tout message envoyé à l'aide de cette version malveillante de Telegram contenant des adresses de portefeuille de crypto-monnaie bitcoin, Ethereum ou TRON sera modifié pour remplacer les adresses de celles fournies par l'attaquant (voir Figure 16). Cependant, contrairement à la version Android, les victimes ne pourront pas découvrir que leurs messages ont été falsifiés sans comparer les historiques de chat : même après avoir redémarré l'application, l'expéditeur verra toujours la version originale du message puisque la partie pertinente du le code est exécuté à nouveau au démarrage de l'application ; le destinataire, en revanche, ne recevra que le portefeuille de l'attaquant.

Figure 16. Client Telegram légitime (à gauche) et cheval de Troie (à droite)

Chevaux de Troie d'accès à distance

Le reste des applications malveillantes que nous avons découvertes sont distribuées sous la forme d'installateurs Telegram et WhatsApp associés à des chevaux de Troie d'accès à distance. Une fois que les RAT ont accédé au système, ni Telegram ni WhatsApp n'ont besoin de fonctionner pour que les RAT fonctionnent. Dans les échantillons observés, le code malveillant était principalement exécuté indirectement en utilisant Chargement latéral de DLL, permettant ainsi aux attaquants de dissimuler leurs actions derrière l'exécution d'applications légitimes. Ces RAT diffèrent considérablement des clippers, car ils ne se concentrent pas explicitement sur le vol de portefeuilles de crypto-monnaie. Au lieu de cela, ils contiennent plusieurs modules avec un large éventail de fonctionnalités, permettant aux acteurs de la menace d'effectuer des actions telles que voler les données du presse-papiers, enregistrer les frappes au clavier, interroger le registre Windows, capturer l'écran, obtenir des informations système et effectuer des opérations sur les fichiers. Chaque RAT que nous avons découvert utilisait une combinaison de modules légèrement différente.

À une exception près, tous les chevaux de Troie d'accès à distance que nous avons analysés étaient basés sur le célèbre RAT fantôme, malware fréquemment utilisé par les cybercriminels en raison de sa disponibilité publique. En aparté intéressant, le code de Gh0st RAT utilise un indicateur de paquet spécial défini sur Gh0st par défaut, une valeur que les acteurs de la menace aiment personnaliser. En changeant l'indicateur, ils peuvent utiliser quelque chose qui a plus de sens pour leur version du logiciel malveillant, ou ils peuvent n'utiliser aucun indicateur. Ils peuvent aussi, comme dans un cas repéré lors de notre analyse, révéler leurs désirs les plus profonds en changeant le drapeau en lambo (comme dans le surnom de la marque italienne de voitures de luxe ; voir la figure 17).

Figure 17. Code décompilé Hex-rays avec drapeau lambo

Le seul RAT parmi le groupe qui n'était pas complètement basé sur Gh0st RAT a utilisé le code du Prise HP bibliothèque pour communiquer avec son serveur C&C. Par rapport aux autres RAT, celui-ci utilise beaucoup plus de contrôles d'exécution anti-analyse au cours de sa chaîne d'exécution. Bien que son code source diffère certainement du reste des chevaux de Troie découverts, sa fonctionnalité est fondamentalement identique : il est capable d'effectuer des opérations sur les fichiers, d'obtenir des informations sur le système et la liste des programmes en cours d'exécution, de supprimer les profils des navigateurs couramment utilisés, de télécharger et d'exécuter un programme potentiellement fichier malveillant, etc. Nous soupçonnons qu'il s'agit d'une version personnalisée qui pourrait être inspirée par l'implémentation de Gh0st.

Prévention et désinstallation

Android

Installez des applications uniquement à partir de sources dignes de confiance et fiables telles que la boutique Google Play.

Si vous partagez des adresses de portefeuille de crypto-monnaie via l'application Android Telegram, vérifiez si l'adresse que vous avez envoyée correspond à l'adresse qui s'affiche après le redémarrage de l'application. Si ce n'est pas le cas, avertissez le destinataire de ne pas utiliser l'adresse et essayez de supprimer le message. Malheureusement, cette technique ne peut pas être appliquée à WhatsApp pour Android avec un cheval de Troie.

Sachez que le conseil précédent ne s'applique pas dans le cas d'un Telegram trojanisé ; étant donné que le destinataire de l'adresse du portefeuille ne voit que le portefeuille de l'attaquant, il ne pourra pas dire si l'adresse est authentique.

Ne stockez pas d'images ou de captures d'écran non cryptées contenant des informations sensibles, telles que des phrases mnémoniques, des mots de passe et des clés privées, sur votre appareil.

Si vous pensez avoir une version cheval de Troie de Telegram ou de WhatsApp, supprimez-la manuellement de votre appareil et téléchargez l'application soit depuis Google Play, soit directement depuis le site Web légitime.

Windows

Si vous n'êtes pas sûr de la légitimité de votre programme d'installation de Telegram, vérifiez si la signature numérique du fichier est valide et délivrée à Telegram FZ-LLC.

Si vous pensez que votre application Telegram est malveillante, nous vous conseillons d'utiliser une solution de sécurité pour détecter la menace et la supprimer pour vous. Même si vous ne possédez pas un tel logiciel, vous pouvez toujours utiliser le logiciel gratuit ESET Online Scanner.

La seule version officielle de WhatsApp pour Windows est actuellement disponible dans la boutique Microsoft. Si vous avez installé l'application à partir d'une autre source, nous vous conseillons de la supprimer puis d'analyser votre appareil.

Conclusion

Au cours de nos recherches sur les applications Telegram et WhatsApp trojanisées distribuées via des sites Web imitateurs, nous avons découvert les premières instances de clippers Android qui interceptent les messages instantanés et échangent les adresses de portefeuille de crypto-monnaie des victimes contre l'adresse de l'attaquant. De plus, certains des clippers ont abusé de l'OCR pour extraire des phrases mnémoniques des images enregistrées sur les appareils des victimes, une utilisation malveillante de la technologie de lecture d'écran que nous avons vue pour la première fois.

Nous avons également trouvé des versions Windows des clippers de changement de portefeuille, ainsi que des installateurs Telegram et WhatsApp pour Windows fournis avec des chevaux de Troie d'accès à distance. Grâce à leurs différents modules, les RAT permettent aux attaquants de contrôler les machines des victimes.

IoCs

Fichiers

Réseau

Portefeuilles d'attaquants

Techniques d'ATT&CK D'ONGLET

Ce tableau a été construit avec Version 12 des techniques mobiles MITRE ATT&CK.

Ce tableau a été construit avec Version 12 des techniques d'entreprise MITRE ATT&CK.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• Platoblockchain. Intelligence métaverse Web3. Connaissance Amplifiée. Accéder ici.
• La source: https://www.welivesecurity.com/2023/03/16/not-so-private-messaging-trojanized-whatsapp-telegram-cryptocurrency-wallets/