Trojan TCLBANKER lây qua tài khoản nhắn tin của nạn nhân

Elastic Security Labs ghi nhận một trojan ngân hàng mới tại Brazil có tên TCLBANKER, với khả năng chiếm tài khoản WhatsApp và Outlook của nạn nhân để phát tán tin nhắn lừa đảo sang danh bạ.

Nhóm nghiên cứu cho biết mã độc này còn nhắm vào một số website ngân hàng, crypto và fintech tại Brazil, đồng thời dùng nhiều cơ chế né phân tích và tự lan rộng để kéo thêm nạn nhân mới.

Mã độc giả dạng bộ cài Logi AI Prompt Builder

TCLBANKER được phát tán dưới dạng bộ cài trojan hóa của Logi AI Prompt Builder, một ứng dụng Logitech có chữ ký số thật. File cài đặt nằm trong một gói ZIP và dùng DLL sideloading để chạy một tệp độc hại trông như một plugin Flutter.

Sau khi được tải, mã độc triển khai hai payload được bảo vệ bằng .NET Reactor: một mô-đun ngân hàng và một mô-đun sâu máy để tự lan truyền. Cách đóng gói này khiến việc phân tích trở nên khó hơn và giúp mã độc che giấu chức năng thực sự trong giai đoạn đầu.

Các lớp né phân tích và chống điều tra

Loader của TCLBANKER tạo ra một dấu vân tay hệ thống dựa trên ba nhóm dữ liệu: kiểm tra chống debug, thông tin ổ đĩa và bộ nhớ, cùng cài đặt ngôn ngữ.

Dấu vân tay này được dùng để sinh khóa giải mã cho payload nhúng. Nếu phát hiện bất thường như có debugger, môi trường sandbox hoặc dung lượng đĩa quá thấp, quá trình giải mã sẽ cho ra dữ liệu lỗi và mã độc dừng lại mà không tạo cảnh báo rõ ràng.

Loader cũng vá các hàm telemetry của Windows để làm mờ tín hiệu với công cụ bảo mật, đồng thời tạo trampoline gọi syscall trực tiếp để tránh hook ở tầng user-mode. Ngoài ra, nó luôn dò tìm các công cụ như x64dbg, Ghidra, dnSpy, IDA Pro, Process Hacker và Frida; nếu phát hiện một trong số này, payload sẽ ngừng hoạt động.

Mô-đun ngân hàng chỉ kích hoạt trên máy ở Brazil

Mô-đun ngân hàng chỉ hoạt động trên máy tính được xác định là ở Brazil. Mã độc dùng ít nhất hai lớp kiểm tra vùng địa lý, bao gồm mã vùng, múi giờ, ngôn ngữ hệ thống và bố cục bàn phím.

Sau đó, nó đọc thanh URL của trình duyệt bằng Windows UI Automation và theo dõi mỗi giây trên nhiều trình duyệt như Chrome, Firefox, Edge, Brave, Opera và Vivaldi. Khi URL khớp với danh sách 59 địa chỉ được mã hóa liên quan đến crypto, ngân hàng và fintech tại Brazil, mã độc sẽ mở kết nối WebSocket tới máy chủ từ xa.

Khi đã có quyền truy cập, kẻ tấn công có thể điều khiển máy tính từ xa thông qua một lớp phủ cửa sổ không viền, luôn nằm trên cùng mọi màn hình. Lớp phủ này không xuất hiện trong ảnh chụp màn hình, và nạn nhân cũng khó chia sẻ chính xác những gì họ đang thấy.

Giao diện lớp phủ có ba mẫu: form thu thập thông tin đăng nhập kèm số điện thoại Brazil giả, màn hình giả Windows Update, và màn hình chờ để giữ nạn nhân ở lại phiên làm việc.

WhatsApp và Outlook bị dùng để phát tán sang liên hệ

Payload thứ hai của TCLBANKER được thiết kế để lây sang nạn nhân mới qua WhatsApp Web và tài khoản Outlook.

Với WhatsApp, bot tìm các phiên WhatsApp Web đang hoạt động trong trình duyệt Chromium bằng cách xác định thư mục cơ sở dữ liệu cục bộ của ứng dụng. Sau đó, nó sao chép hồ sơ trình duyệt, mở một phiên Chromium không giao diện, chèn JavaScript để vượt qua cơ chế phát hiện bot và thu thập danh bạ của nạn nhân.

Với Outlook, bot kết nối qua tự động hóa COM để lấy địa chỉ email từ thư mục Contacts và lịch sử hộp thư đến, rồi gửi email lừa đảo bằng chính tài khoản của nạn nhân. Các email này dùng tiêu đề “NFe disponível para impressão”, tức “Electronic Invoice Available for Printing”, và dẫn đến một tên miền giả mạo nền tảng ERP của Brazil.

Việc gửi đi từ tài khoản thật làm tăng khả năng vượt qua bộ lọc thư rác và khiến chiến dịch có thể lan nhanh hơn trong mạng lưới liên hệ cá nhân và công việc của nạn nhân.

Tổng kết

TCLBANKER là một trojan ngân hàng có cả chức năng đánh cắp phiên truy cập lẫn tự phát tán qua tài khoản nhắn tin và email, cho thấy mức độ kết hợp giữa lừa đảo, né phân tích và lan truyền tự động đang ngày càng phức tạp.