TCLBANKER 銀行木馬
網路安全研究人員發現了一種先前未被記錄的巴西銀行木馬，名為TCLBANKER。這是一種高度複雜的惡意軟體，旨在攻擊59個銀行、金融科技和加密貨幣平台。該攻擊活動目前被追踪，代號為REF3076，據信是臭名昭著的Maverick惡意軟體家族的重大演變，該家族先前與Water Saci威脅集群有關。
TCLBANKER 在早期攻擊方法的基礎上進行了擴展，整合了先進的反分析機制、隱蔽式有效載荷交付以及透過受損通訊平台進行大規模傳播的能力。
目錄
一條專為規避而建構的隱藏感染鏈
攻擊始於一個惡意 ZIP 壓縮包，其中包含一個 MSI 安裝程序，該程序濫用了名為 Logi AI Prompt Builder 的合法簽名 Logitech 應用程式。透過 DLL 側加載，該惡意軟體強制受信任的應用程式會載入一個名為「screen_retriever_plugin.dll」的惡意函式庫，該程式庫充當主載入器。
該載入器整合了一個功能強大的監視子系統，專門用於規避檢測。它會持續掃描安全性和分析環境，包括調試器、防毒產品、反彙編器、沙箱和檢測工具。只有當 DLL 由諸如“logiaipromptbuilder.exe”或“tclloader.exe”等已獲批准的進程啟動時，才會執行，其中“tclloader.exe”可能與內部測試有關。
為了進一步規避安全監控，此惡意軟體會移除終端安全解決方案放置在「ntdll.dll」中的使用者模式鉤子，並停用Windows事件追蹤（ETW）遙測功能。它還會基於反調試檢查、虛擬化檢測、磁碟資訊和作業系統語言設定創建多個系統指紋。這些指紋會產生一個環境雜湊值，用於解密嵌入的有效載荷。
該惡意軟體會專門驗證目標系統是否使用巴西葡萄牙語。任何調試或分析操作都會導致哈希值錯誤，從而阻止有效載荷成功解密並完全停止執行。
旨在實現對整個系統的控制的銀行木馬程式功能
反分析檢查完成後，主銀行木馬程式即被部署。在確認系統屬於巴西用戶後，該惡意軟體透過排程任務建立持久性，並使用包含系統資訊的HTTP POST請求連接外部命令與控制伺服器。
TCLBANKER 具備自我更新功能，並透過 UI 自動化技術從前台瀏覽器的網址列中提取 URL，從而主動監控瀏覽器活動。該惡意軟體針對多種常用瀏覽器，包括：
- Google Chrome
- Mozilla Firefox
- Microsoft Edge
- 勇敢的
- 歌劇
- 韋瓦第
當偵測到受監控的銀行或加密貨幣網站時，TCLBANKER 會開啟一個到遠端伺服器的 WebSocket 連線並進入命令執行循環。這使得攻擊者能夠遠端執行各種惡意活動，包括系統偵察、剪貼簿篡改、鍵盤記錄、螢幕截圖、螢幕流、遠端滑鼠和鍵盤控制、進程管理以及部署偽造憑證竊取覆蓋層。
高級社交工程和憑證竊取
TCLBANKER 惡意軟體嚴重依賴社會工程手段竊取敏感資訊。它使用基於 Windows Presentation Foundation (WPF) 的全螢幕覆蓋框架，能夠顯示極具迷惑性的釣魚介面。這些覆蓋層模仿合法的銀行提示、虛假的 Windows 更新、進度條和語音釣魚等待介面，旨在誘騙受害者洩露憑證。
值得注意的是，這些疊加層對螢幕截圖工具是隱藏的，這使得偵測和取證分析變得更加困難。
WhatsApp 和 Outlook 已淪為惡意軟體分發工具
除了銀行木馬之外，該載入程式還會部署一個蠕蟲元件，負責透過 WhatsApp Web 和 Microsoft Outlook 大規模傳播感染。 WhatsApp 模組會劫持已認證的瀏覽器會話，並使用開源的 WPPConnect 專案自動向受害者的聯絡人發送訊息。為了提高攻擊效率，該惡意軟體會過濾掉群組聊天、廣播清單和非巴西的電話號碼。
Outlook 元件利用受害者已安裝的 Microsoft Outlook 應用程序，充當網路釣魚垃圾郵件機器人，直接從受害者的郵箱地址發送惡意郵件。由於這些郵件源自合法帳戶和可信任基礎設施，傳統的垃圾郵件過濾器和基於信譽的安全系統難以偵測到此類惡意活動。
據報道，該惡意軟體可利用被入侵的 WhatsApp 會話和 Outlook 帳戶向多達 3000 個聯絡人發送垃圾郵件，從而大幅擴大攻擊範圍，同時利用受害者與其聯絡人之間現有的信任關係。
威脅情勢不斷擴大的跡象
研究人員認為 REF3076 仍處於早期運作階段。調試日誌路徑、未完成的釣魚基礎設施和測試流程名稱等證據表明，攻擊者仍在不斷改進和擴展攻擊活動。
TCLBANKER 也重點指出巴西銀行業惡意軟體生態系統正在快速演變。一些曾經只與高度複雜的威脅行為者相關的技術，如今已出現在普通的網路犯罪活動中。這些技術包括：
- 基於環境的有效載荷解密
- 直接產生系統調用
- 基於即時 WebSocket 的社會工程攻擊
- 透過被劫持的通訊平台傳播可信賴消息
TCLBANKER 透過濫用合法的 WhatsApp 和 Outlook 會話，有效地繞過了許多傳統的安全防禦措施。此次攻擊活動表明，現代銀行木馬正日益融合先進的隱藏、自動化和社會工程技術，以建立高度彈性和可擴展的網路犯罪行動。
