Киберугроза ComprovanteSpray: фишинговые файлы в WhatsApp крадут финансовые данные

Эксперты по кибербезопасности из исследовательской группы Heimdall обнаружили новую вредоносную кампанию под названием ComprovanteSpray, активно распространяемую через мессенджер WhatsApp. Атака нацелена на кражу конфиденциальной финансовой информации пользователей с использованием сложных методов маскировки, что представляет серьезную угрозу для частных лиц и организаций финансового сектора.

Описание

Кампания начинается с получения жертвой сообщения в WhatsApp, содержащего ZIP-архив, который маскируется под банковскую квитанцию таких учреждений, как Itaú или Bradesco. После извлечения содержимого архива пользователь обнаруживает три файла, один из которых имеет расширение LNK и замаскирован под PDF-документ. Этот файл-ярлык содержит сложную команду PowerShell, предназначенную для скрытной загрузки и выполнения вредоносного кода непосредственно в памяти устройства.

Технический анализ показал, что команда PowerShell использует параметры обхода безопасности, включая скрытое выполнение и отключение политик ограничения. Критически важным элементом является создание фонового процесса с именем BLEYZ, который загружает скрипт с удаленного сервера через URL-адрес, принадлежащий домену animaliaoqisso[.]com. Особенностью атаки является применение технологии fileless (бесфайловой) - вредоносный код выполняется исключительно в оперативной памяти, что значительно затрудняет его обнаружение традиционными антивирусными решениями.

Исследователи выявили, что финальная стадия атаки involves загрузка исполняемого файла "ysaikº.exe", который осуществляет сбор широкого спектра конфиденциальных данных. Сбор информации включает банковские реквизиты, данные кредитных карт, информацию о транзакциях через систему Pix, учетные данные для доступа к криптовалютным кошелькам, историю браузера, cookies сессий и данные автозаполнения. Собранные данные структурируются в JSON-формате и передаются на серверы, замаскированные через инфраструктуру Cloudflare с IP-адресами 104.21.57.182 и 172.67.165.72.

Эксперты Heimdall классифицировали угрозу по тактикам MITRE ATT&CK, выделив использование обфусцированных команд, выполнение через API Windows и применение легитимных сервисов для скрытия вредоносного трафика. Кампания демонстрирует высокий уровень автоматизации - после компрометации одного устройства malware автоматически рассылает фишинговые сообщения контактам жертвы, обеспечивая быстрое распространение.

Потенциальный финансовый ущерб от ComprovanteSpray включает несанкционированные банковские операции, кражу криптовалютных активов, компрометацию корпоративных данных и репутационные потери для организаций. Особой опасности подвержены сотрудники компаний, использующие WhatsApp для деловой переписки, поскольку утечка учетных данных может привести к доступу злоумышленников к внутренним системам.

Для защиты от подобных угроз специалисты рекомендуют проявлять особую бдительность при получении файлов через мессенджеры, даже от известных контактов. Критически важно проверять расширения файлов - в данной кампации LNK-файл был замаскирован под PDF-документ. Организациям следует рассмотреть внедрение решений класса EDR (Endpoint Detection and Response - обнаружение и реагирование на конечных точках), способных обнаруживать аномальную активность PowerShell и бесфайловые техники выполнения кода.

Регулярное обучение сотрудников основам кибергигиены, включая распознавание фишинговых атак, остается ключевым элементом защиты. Также рекомендуется ограничить выполнение сценариев PowerShell в производственных средах и внедрить систему мониторинга необычных сетевых подключений, особенно к сервисам облачной инфраструктуры.

Обнаружение кампании ComprovanteSpray подчеркивает растущую изощренность киберпреступников, использующих социальную инженерию и передовые техники уклонения от обнаружения. Своевременное распространение информации о таких угрозах позволяет организациям и частным пользователям принимать proactive меры защиты до момента массового распространения атаки.