I ricercatori di ESET hanno scoperto dozzine di siti web imitatori di Telegram e WhatsApp rivolti principalmente agli utenti Android e Windows con versioni trojanizzate di queste app di messaggistica istantanea. La maggior parte delle app dannose che abbiamo identificato sono clipper, un tipo di malware che ruba o modifica il contenuto degli appunti. Tutti cercano i fondi di criptovaluta delle vittime, con diversi portafogli di criptovaluta mirati. Questa è stata la prima volta che abbiamo visto clipper Android concentrati specificamente sulla messaggistica istantanea. Inoltre, alcune di queste app utilizzano il riconoscimento ottico dei caratteri (OCR) per riconoscere il testo dagli screenshot memorizzati sui dispositivi compromessi, un'altra novità per il malware Android.

Prima della costituzione del App Defense Alliance, abbiamo scoperto il primo clipper Android su Google Play, che ha portato Google a migliorare la sicurezza di Android di limitando operazioni negli appunti a livello di sistema per le app in esecuzione in background per le versioni di Android 10 e successive. Come purtroppo dimostrano le nostre ultime scoperte, questa azione non è riuscita a estirpare del tutto il problema: non solo abbiamo individuato i primi clipper di messaggistica istantanea, ma ne abbiamo scoperti diversi cluster. Lo scopo principale dei clipper che abbiamo scoperto è intercettare le comunicazioni di messaggistica della vittima e sostituire qualsiasi indirizzo di portafoglio di criptovaluta inviato e ricevuto con indirizzi appartenenti agli aggressori. Oltre alle app WhatsApp e Telegram Android trojanizzate, abbiamo trovato anche versioni Windows trojanizzate delle stesse app.

Naturalmente, queste non sono le uniche applicazioni imitatrici a inseguire le criptovalute: proprio all'inizio del 2022, noi identificato gli attori delle minacce si sono concentrati sul riconfezionamento di applicazioni di criptovaluta legittime che cercano di rubare frasi di recupero dai portafogli delle loro vittime.

Panoramica delle app trojanizzate

A causa della diversa architettura di Telegram e WhatsApp, gli attori delle minacce hanno dovuto scegliere un approccio diverso per creare versioni trojanizzate di ciascuno dei due. Poiché Telegram è un'app open source, alterarne il codice mantenendo intatte le funzionalità di messaggistica dell'app è relativamente semplice. D'altra parte, il codice sorgente di WhatsApp non è pubblicamente disponibile, il che significa che prima di riconfezionare l'applicazione con codice dannoso, gli autori delle minacce dovevano prima eseguire un'analisi approfondita della funzionalità dell'app per identificare i punti specifici da modificare.

Nonostante abbiano lo stesso scopo generale, le versioni trojanizzate di queste app contengono varie funzionalità aggiuntive. Per una migliore facilità di analisi e spiegazione, abbiamo suddiviso le app in diversi cluster basati su tali funzionalità; in questo post del blog, descriveremo quattro cluster di clipper Android e due cluster di app Windows dannose. Non entreremo negli attori delle minacce dietro le app, poiché ce ne sono molti.

Prima di descrivere brevemente questi cluster di app, però, cos'è un clipper e perché i ladri informatici ne dovrebbero usare uno? Vagamente, nei circoli di malware, un clipper è un pezzo di codice dannoso che copia o modifica il contenuto negli appunti di un sistema. I clipper sono quindi attraenti per i criminali informatici interessati a rubare criptovaluta perché gli indirizzi dei portafogli di criptovaluta online sono composti da lunghe stringhe di caratteri e, invece di digitarli, gli utenti tendono a copiare e incollare gli indirizzi utilizzando gli appunti. Un clipper può trarne vantaggio intercettando il contenuto degli appunti e sostituendo surrettiziamente qualsiasi indirizzo di portafoglio di criptovaluta con uno a cui i ladri possono accedere.

Il cluster 1 dei clipper Android costituisce anche la prima istanza di malware Android che utilizza l'OCR per leggere il testo da schermate e foto memorizzate sul dispositivo della vittima. L'OCR viene utilizzato per trovare e rubare una frase seme, che è un codice mnemonico composto da una serie di parole utilizzate per recuperare i portafogli di criptovaluta. Una volta che gli attori malintenzionati entrano in possesso di una frase seme, sono liberi di rubare tutta la criptovaluta direttamente dal portafoglio associato.

Rispetto all'uso della tecnologia avanzata da parte del Cluster 1, il Cluster 2 è molto semplice. Questo malware scambia semplicemente l'indirizzo del portafoglio di criptovaluta della vittima con l'indirizzo dell'attaccante nella comunicazione chat, con gli indirizzi che vengono codificati o recuperati dinamicamente dal server dell'attaccante. Questo è l'unico cluster Android in cui abbiamo identificato campioni WhatsApp trojan oltre a Telegram.

Il cluster 3 monitora la comunicazione di Telegram per determinate parole chiave relative alle criptovalute. Una volta riconosciuta tale parola chiave, il malware invia il messaggio completo al server dell'attaccante.

Infine, i clipper Android nel Cluster 4 non solo cambiano l'indirizzo del portafoglio della vittima, ma esfiltrano anche i dati interni di Telegram e le informazioni di base sul dispositivo.

Per quanto riguarda il malware di Windows, esisteva un cluster di clipper di criptovaluta di Telegram i cui membri intercettavano e modificavano semplicemente i messaggi di Telegram per cambiare gli indirizzi del portafoglio di criptovaluta, proprio come il secondo cluster di clipper di Android. La differenza sta nel codice sorgente della versione Windows di Telegram, che ha richiesto ulteriori analisi da parte dei malintenzionati, per poter implementare l'inserimento del proprio indirizzo di portafoglio.

Diversamente dal modello stabilito, il secondo cluster di Windows non è composto da clipper, ma da trojan di accesso remoto (RAT) che consentono il pieno controllo del sistema della vittima. In questo modo, i RAT sono in grado di rubare portafogli di criptovalute senza intercettare il flusso dell'applicazione.

Distribuzione

Sulla base della lingua utilizzata nelle applicazioni copycat, sembra che gli operatori dietro di loro si rivolgano principalmente agli utenti di lingua cinese.

Perché sia ​​Telegram che WhatsApp sono stati bloccati in Cina ormai da diversi anni, e da allora Telegram è stato bloccato 2015 e WhatsApp da allora 2017, le persone che desiderano utilizzare questi servizi devono ricorrere a mezzi indiretti per ottenerli. Non sorprende che ciò costituisca un'opportunità matura per i criminali informatici di abusare della situazione.

Nel caso degli attacchi descritti in questo post sul blog, gli attori delle minacce hanno prima impostato Google Ads che porta a canali YouTube fraudolenti, che poi reindirizzano gli sfortunati spettatori a imitare i siti Web di Telegram e WhatsApp, come illustrato nella Figura 1. Inoltre, uno un particolare gruppo di Telegram ha anche pubblicizzato una versione dannosa dell'app che affermava di avere un servizio proxy gratuito al di fuori della Cina (vedi Figura 2). Quando abbiamo scoperto questi annunci fraudolenti e i relativi canali YouTube, li abbiamo segnalati a Google, che li ha prontamente bloccati tutti.

Figura 1. Diagramma di distribuzione

Figura 2. App Telegram trojanizzata offerta nel gruppo Telegram

A prima vista, potrebbe sembrare che il modo in cui queste app copycat sono distribuite sia piuttosto contorto. Tuttavia, è possibile che con Telegram, WhatsApp e l'app Google Play bloccati in Cina, gli utenti Android siano abituati a fare i salti mortali se vogliono ottenere app ufficialmente non disponibili. I criminali informatici ne sono consapevoli e cercano di intrappolare le loro vittime fin dall'inizio, quando la vittima cerca su Google un'app WhatsApp o Telegram da scaricare. Gli autori delle minacce hanno acquistato Google Ads (vedere la Figura 3) che reindirizza a YouTube, il che aiuta gli aggressori ad arrivare in cima ai risultati di ricerca ed evita anche che i loro falsi siti Web vengano contrassegnati come truffe, poiché gli annunci si collegano a un servizio legittimo che Google Ads presumibilmente considera molto affidabile.

Figura 3. Annuncio a pagamento durante la ricerca di Chinese Telegram

I collegamenti ai siti Web imitatori si trovano solitamente nella sezione "Informazioni" dei canali YouTube. Un esempio di tale descrizione può essere visto in una traduzione molto approssimativa nella Figura 4.

Figura 4. Canale YouTube fraudolento di WhatsApp che rimanda a un sito web fasullo

Durante la nostra ricerca, abbiamo trovato centinaia di canali YouTube che rimandano a dozzine di siti Web contraffatti di Telegram e WhatsApp, alcuni dei quali sono visibili nella Figura 5. Questi siti impersonano servizi legittimi (vedere la Figura 6) e forniscono versioni desktop e mobili dell'app per il download . Nessuna delle app analizzate era disponibile sul Google Play Store.

Figura 5. Canali falsi disponibili su YouTube

Figura 6. Siti web che imitano Telegram e WhatsApp

Analisi

Abbiamo trovato vari tipi di codice dannoso riconfezionati con le app legittime di Telegram e WhatsApp. Sebbene le app analizzate siano nate più o meno contemporaneamente utilizzando uno schema molto simile, sembra che non siano state tutte sviluppate dallo stesso autore di minacce. Oltre alla maggior parte delle app dannose in grado di sostituire gli indirizzi di criptovaluta nelle comunicazioni di Telegram e WhatsApp, non ci sono indicazioni di ulteriori connessioni tra di loro.

Mentre i falsi siti Web offrono collegamenti per il download per tutti i sistemi operativi in ​​​​cui sono disponibili Telegram e WhatsApp, tutti i collegamenti Linux e macOS, così come la maggior parte dei collegamenti iOS, reindirizzano ai siti Web ufficiali dei servizi. Nel caso dei pochi collegamenti iOS che portano a siti Web fraudolenti, le app non erano più disponibili per il download al momento della nostra analisi. Gli utenti Windows e Android costituiscono quindi i principali bersagli degli attacchi.

Trojan Android

Lo scopo principale delle app Android trojanizzate è intercettare i messaggi di chat delle vittime e scambiare qualsiasi indirizzo di portafoglio di criptovaluta con quelli appartenenti agli aggressori o esfiltrare informazioni sensibili che consentirebbero agli aggressori di rubare i fondi di criptovaluta delle vittime. Questa è la prima volta che vediamo clipper che prendono di mira specificamente la messaggistica istantanea.

Per poter modificare i messaggi, gli autori delle minacce hanno dovuto analizzare a fondo il codice originale delle app di entrambi i servizi. Poiché Telegram è un'applicazione open source, i criminali informatici dovevano solo inserire il proprio codice dannoso in una versione esistente e compilarlo; nel caso di WhatsApp, invece, il binario doveva essere modificato direttamente e riconfezionato per aggiungere la funzionalità dannosa.

Abbiamo osservato che quando si sostituiscono gli indirizzi dei portafogli, le app trojanizzate per Telegram si comportano diversamente da quelle per WhatsApp. Una vittima che utilizza un'app Telegram dannosa continuerà a vedere l'indirizzo originale fino al riavvio dell'applicazione, dopodiché l'indirizzo visualizzato sarà quello che appartiene all'aggressore. Al contrario, l'indirizzo della vittima verrà visualizzato nei messaggi inviati se si utilizza un WhatsApp con trojan, mentre il destinatario del messaggio riceverà l'indirizzo dell'aggressore. Questo è mostrato nella Figura 7.

Figura 7. WhatsApp dannoso (a sinistra) ha sostituito l'indirizzo del portafoglio inviato nel messaggio per il destinatario (a destra)

Cluster 1

Il cluster 1 è il più intrigante, poiché i suoi membri costituiscono il primo caso noto di abuso dell'OCR in qualsiasi malware Android. In questo caso, le app Telegram trojanizzate utilizzano un plug-in di machine learning legittimo chiamato Kit ML su Android per cercare immagini con il dispositivo della vittima . Jpg ed .png estensioni, i formati di screenshot più comuni su Android. Il malware cerca schermate di frasi di recupero del portafoglio di criptovaluta (note anche come mnemonici) che la vittima potrebbe aver conservato sul dispositivo come backup.

Funzionalità dannosa che scorre i file sul dispositivo e li esegue attraverso l'OCR riconoscereTesto funzione può essere visto in Figura 8.

Figura 8. Codice dannoso responsabile del recupero di immagini e foto dal dispositivo e del loro OCR

Come mostrato in Figura 9, se il riconoscereTesto trova la stringa mnemonico or ? (mnemonico in cinese) nel testo estratto dall'immagine, invia sia il testo che l'immagine al server C&C. In casi selezionati abbiamo visto l'elenco delle parole chiave ampliato a undici voci, nello specifico 助记词, Mnemonica, memorizzazione, memorizzare, frase di recupero, Frase di recupero, portafoglio, METAMASKA, Frase, segreto, Frase di recupero.

Figura 9. L'immagine e il testo riconosciuto all'interno vengono inviati al server C&C dell'aggressore

Cluster 2

Contrariamente al Cluster 1, che impiega metodi avanzati per aiutare nelle sue attività dannose, il secondo cluster di clipper Android è il meno complicato tra i quattro: queste app dannose si limitano a scambiare gli indirizzi dei portafogli, senza ulteriori funzionalità dannose. I trojan nel Cluster 2 sostituiscono principalmente gli indirizzi per i portafogli di monete bitcoin, Ethereum e TRON, con alcuni di loro che sono anche in grado di cambiare portafogli per Monero e Binance. Il modo in cui i messaggi vengono intercettati e modificati è visibile nelle Figure 10 e 11.

Figura 10. Intercettazione dei messaggi di Telegram tramite codice dannoso

Figura 11. Codice dannoso responsabile della sostituzione degli indirizzi dei portafogli nei messaggi di Telegram

Cluster 2 è l'unico cluster Android in cui abbiamo trovato non solo campioni di Telegram, ma anche di WhatsApp. Entrambi i tipi di app trojan hanno un elenco hardcoded di indirizzi di portafogli dell'attaccante (come mostrato nella Figura 11) o li richiedono dinamicamente da un server C&C, come mostrato nella Figura 12.

Figura 12. Indirizzi dei portafogli Bitcoin, Ethereum e TRON ricevuti dal server C&C

Cluster 3

Questo cluster monitora la comunicazione di Telegram per particolari parole chiave in cinese, come "mnemonic", "bank", "address", "account" e "Yuan". Alcune delle parole chiave sono hardcoded, mentre altre vengono ricevute dal server C&C, il che significa che possono essere modificate o ampliate in qualsiasi momento. Una volta che un clipper del Cluster 3 riconosce una parola chiave, l'intero messaggio, insieme al nome utente, al nome del gruppo o del canale, viene inviato al server C&C, come si può vedere nella Figura 13.

Figura 13. Clipper esfiltra un messaggio se è stata rilevata una parola chiave

Cluster 4

L'ultimo cluster identificato di clipper Android, Cluster 4, non solo può sostituire gli indirizzi di criptovaluta, ma anche esfiltrare i dati di Telegram della vittima ottenendo i suoi file di configurazione, numero di telefono, informazioni sul dispositivo, immagini, nome utente Telegram e l'elenco delle app installate. L'accesso a queste versioni dannose dell'app Telegram significa che tutti i dati interni personali memorizzati all'interno, come messaggi, contatti e file di configurazione, diventano visibili agli attori delle minacce.

Per dimostrare, concentriamoci sull'app trojanizzata più intrusiva di questo cluster: questo malware setaccia lo storage interno di Telegram per tutti i file di dimensioni inferiori a 5.2 MB e senza un. Jpg estensione e li ruba. Inoltre, può anche estrarre informazioni di base sul dispositivo, l'elenco delle applicazioni installate e i numeri di telefono. Tutti i file rubati vengono archiviati in un file informazioni.zip file, che viene quindi esfiltrato nel C&C. Tutto il malware all'interno di questo cluster utilizza lo stesso nome file ZIP, suggerendo un autore o una base di codice comune. L'elenco dei file esfiltrati dal nostro dispositivo di analisi è visibile nella Figura 14.

Figura 14. File utente privati ​​di Telegram che vengono esfiltrati nel server C&C

Trojan di Windows

A differenza delle app Android trojan che abbiamo scoperto, le versioni Windows sono costituite non solo da clipper, ma anche da trojan di accesso remoto. Mentre i clipper si concentrano principalmente sul furto di criptovalute, i RAT sono in grado di eseguire una più ampia varietà di azioni dannose come l'acquisizione di schermate e l'eliminazione di file. Alcuni di loro possono anche manipolare gli appunti, il che consentirebbe loro di rubare portafogli di criptovaluta. Le app di Windows sono state trovate negli stessi domini delle versioni di Android.

Tagliatori di criptovaluta

Abbiamo scoperto due campioni di clipper di criptovaluta di Windows. Proprio come il Cluster 2 dei clipper Android, questi intercettano e modificano i messaggi inviati tramite un client Telegram trojan. Usano gli stessi indirizzi di portafoglio del cluster Android, il che significa che molto probabilmente provengono dallo stesso autore di minacce.

Il primo dei due campioni di clipper è distribuito come eseguibile portatile con tutte le dipendenze e le informazioni necessarie incorporate direttamente nel suo binario. In questo modo, non viene eseguita alcuna installazione dopo l'esecuzione del programma dannoso, mantenendo la vittima all'oscuro che qualcosa non va. Il malware intercetta non solo i messaggi tra utenti, ma anche tutti i messaggi, i canali e i gruppi salvati.

Simile al relativo Android Cluster 2, il codice responsabile della modifica dei messaggi utilizza modelli hardcoded per identificare gli indirizzi di criptovaluta all'interno dei messaggi. Questi sono evidenziati in giallo nella Figura 15. Se trovato, il codice sostituisce gli indirizzi originali con i corrispondenti indirizzi appartenenti all'aggressore (evidenziati in rosso). Questo clipper si concentra su bitcoin, Ethereum e TRON.

Figura 15. Codice decompilato con pattern hardcoded e indirizzi wallet

Il secondo clipper utilizza un processo di installazione standard, lo stesso del legittimo programma di installazione di Telegram. Tuttavia, anche se il processo sembra apparentemente innocente, l'eseguibile installato è tutt'altro che benigno. Rispetto al legittimo Telegram, contiene due file aggiuntivi crittografati utilizzando un codice XOR a byte singolo con la chiave 0xff. I file contengono un indirizzo del server C&C e un ID agente utilizzato per comunicare con il C&C.

Questa volta non vengono utilizzati indirizzi hardcoded. Invece, il clipper ottiene sia i modelli di messaggio che i corrispondenti indirizzi del portafoglio di criptovaluta dal C&C tramite una richiesta HTTP POST. La comunicazione con il C&C funziona nello stesso modo mostrato nel Cluster 2 dei clipper Android (Figura 12).

Oltre a scambiare gli indirizzi dei portafogli di criptovalute, questo clipper può anche rubare il numero di telefono della vittima e le credenziali di Telegram. Quando una persona compromessa da questa app trojan tenta di accedere su un nuovo dispositivo, gli viene richiesto di inserire il codice di accesso inviato al proprio account Telegram. Una volta che il codice arriva, la notifica viene automaticamente intercettata dal malware e il codice di verifica insieme alla password facoltativa finiscono nelle mani degli autori delle minacce.

Analogamente al primo esempio di clipper di Windows, qualsiasi messaggio inviato utilizzando questa versione dannosa di Telegram contenente indirizzi di portafoglio di criptovaluta bitcoin, Ethereum o TRON verrà modificato per sostituire gli indirizzi per quelli forniti dall'attaccante (vedere Figura 16). Tuttavia, a differenza della versione per Android, le vittime non potranno scoprire che i propri messaggi sono stati manomessi senza confrontare le cronologie chat: anche dopo aver riavviato l'app, il mittente vedrà sempre la versione originale del messaggio poiché la relativa parte dell'app il codice viene eseguito nuovamente all'avvio dell'applicazione; il destinatario, invece, riceverà solo il wallet dell'attaccante.

Figura 16. Client Telegram legittimo (sinistra) e trojan (destra)

Trojan di accesso remoto

Il resto delle app dannose che abbiamo scoperto sono distribuite sotto forma di programmi di installazione di Telegram e WhatsApp in bundle con trojan di accesso remoto. Una volta che i RAT hanno ottenuto l'accesso al sistema, né Telegram né WhatsApp devono essere eseguiti affinché i RAT funzionino. Nei campioni osservati, il codice dannoso è stato per lo più eseguito indirettamente utilizzando DLL a caricamento laterale, consentendo così agli aggressori di nascondere le proprie azioni dietro l'esecuzione di applicazioni legittime. Questi RAT differiscono in modo significativo dai clipper, poiché non si concentrano esplicitamente sul furto di portafogli di criptovaluta. Al contrario, contengono diversi moduli con un'ampia gamma di funzionalità, consentendo agli autori delle minacce di eseguire azioni come il furto di dati degli appunti, la registrazione di sequenze di tasti, l'interrogazione del registro di Windows, l'acquisizione dello schermo, l'ottenimento di informazioni di sistema e l'esecuzione di operazioni sui file. Ogni RAT che abbiamo scoperto utilizzava una combinazione di moduli leggermente diversa.

Con un'eccezione, tutti i trojan di accesso remoto che abbiamo analizzato erano basati sul famigerato Topo Fantasma, malware che viene spesso utilizzato dai criminali informatici a causa della sua disponibilità pubblica. Per inciso, il codice di Gh0st RAT utilizza uno speciale flag di pacchetto impostato su Gh0st per impostazione predefinita, un valore che gli attori delle minacce amano personalizzare. Nel cambiare il flag, possono utilizzare qualcosa che ha più senso per la loro versione del malware, oppure possono non utilizzare alcun flag. Possono anche, come in un caso individuato durante la nostra analisi, rivelare i loro desideri più profondi cambiando la bandiera in lambo (come in, il soprannome del marchio italiano di auto di lusso; vedi Figura 17).

Figura 17. Codice decompilato con raggi esadecimali con flag lambo

L'unico RAT del gruppo che non era completamente basato su Gh0st RAT utilizzava il codice di Presa HP library per comunicare con il suo server C&C. Rispetto agli altri RAT, questo utilizza molti più controlli di runtime anti-analisi durante la sua catena di esecuzione. Sebbene il suo codice sorgente differisca certamente dal resto dei trojan scoperti, la sua funzionalità è sostanzialmente identica: è in grado di eseguire operazioni sui file, ottenere informazioni sul sistema e l'elenco dei programmi in esecuzione, eliminare profili di browser comunemente utilizzati, scaricare ed eseguire un potenzialmente file dannoso e così via. Sospettiamo che si tratti di una build personalizzata che potrebbe essere ispirata dall'implementazione di Gh0st.

Prevenzione e disinstallazione

Android

Installa app solo da fonti attendibili e affidabili come il Google Play Store.

Se condividi gli indirizzi dei portafogli di criptovalute tramite l'app Android Telegram, verifica che l'indirizzo che hai inviato corrisponda all'indirizzo visualizzato dopo il riavvio dell'applicazione. In caso contrario, avvisa il destinatario di non utilizzare l'indirizzo e prova a rimuovere il messaggio. Sfortunatamente, questa tecnica non può essere applicata a WhatsApp per Android con trojan.

Tieni presente che il suggerimento precedente non si applica nel caso di Telegram trojanizzato; poiché il destinatario dell'indirizzo del portafoglio vede solo il portafoglio dell'attaccante, non sarà in grado di stabilire se l'indirizzo è autentico.

Non archiviare immagini o schermate non crittografate contenenti informazioni riservate, come frasi mnemoniche, password e chiavi private, sul dispositivo.

Se ritieni di avere una versione trojanizzata di Telegram o WhatsApp, rimuovila manualmente dal tuo dispositivo e scarica l'app da Google Play o direttamente dal sito web legittimo.

Windows

Nel caso in cui non sei sicuro che il tuo programma di installazione di Telegram sia legittimo, controlla se la firma digitale del file è valida e rilasciata a Telegram FZ-LLC.

Se sospetti che la tua app Telegram sia dannosa, ti consigliamo di utilizzare una soluzione di sicurezza per rilevare la minaccia e rimuoverla per te. Anche se non possiedi tale software, puoi comunque utilizzare il software gratuito Scanner online ESET.

L'unica versione ufficiale di WhatsApp per Windows è attualmente disponibile nel Microsoft Store. Se hai installato l'applicazione da qualsiasi altra fonte, ti consigliamo di eliminarla e quindi di scansionare il tuo dispositivo.

Conclusione

Durante la nostra ricerca sulle app Telegram e WhatsApp trojanizzate distribuite attraverso siti Web imitatori, abbiamo scoperto i primi casi di clipper Android che intercettano i messaggi istantanei e scambiano gli indirizzi dei portafogli di criptovaluta delle vittime con l'indirizzo dell'aggressore. Inoltre, alcuni clipper hanno abusato dell'OCR per estrarre frasi mnemoniche dalle immagini salvate sui dispositivi delle vittime, un uso dannoso della tecnologia di lettura dello schermo che abbiamo visto per la prima volta.

Abbiamo anche trovato versioni Windows dei clipper che cambiano portafogli, nonché programmi di installazione di Telegram e WhatsApp per Windows in bundle con trojan di accesso remoto. Attraverso i loro vari moduli, i RAT consentono agli aggressori di controllare le macchine delle vittime.

IOCS

File

Network NetPoulSafe

Portafogli dell'attaccante

Tecniche MITRE ATT&CK

Questa tabella è stata creata utilizzando Versione 12 delle tecniche mobili MITRE ATT&CK.

Questa tabella è stata creata utilizzando Versione 12 delle tecniche di impresa MITRE ATT&CK.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.welivesecurity.com/2023/03/16/not-so-private-messaging-trojanized-whatsapp-telegram-cryptocurrency-wallets/