Brasilianische WhatsApp-Benutzer aufgepasst! Diese Malware ist eine Krypto-Katastrophe 🚨

von

Oh nein! Nicht schon wieder! Eine neue WhatsApp-Malware hat es auf brasilianische Nutzer abgesehen, stiehlt Bank- und Kryptodaten und verbreitet sich gleichzeitig wie eine digitale Seuche. 🐍💸

Eine schnelllebige Malware-Kampagne zielt auf WhatsApp-Benutzer in ganz Brasilien ab. Und mit „schnelllebig“ meinen wir, dass es schneller ist als das WLAN Ihrer Oma. 🚀

Es wurde festgestellt, dass dieser „WhatsApp-Wurm“ sich über gekaperte Konten verbreitet und Menschen dazu verleitet, schädliche Dateien zu öffnen. Denn wer freut sich nicht über einen verdächtigen Link von einem Freund? 📱😅

Forscher warnen, dass die Malware aktualisierte Methoden verwendet, die es schwieriger machen, sie zu erkennen oder zu blockieren. Denn nichts sagt mehr „Ich bin ein Bösewicht“ als technisch versiert zu sein. 🔍😈

Wie die WhatsApp-Malware-Kampagne startet (und warum Sie sich darum kümmern sollten)

Angreifer starten ihre Kampagne typischerweise mit einfachen Nachrichten, in denen sie gefälschte Warnungen über staatliche Beihilfen, Paketlieferungen oder Investmentgruppen versenden. Denn wer möchte nicht an ein Wunder glauben? 📦✨

Manche Nachrichten sehen aus, als kämen sie von Freunden oder der Familie, und die Opfer werden dazu verleitet, auf einen Link zu tippen und eine Kettenreaktion auszulösen. Es ist wie eine digitale Version von „Ich habe ein Geheimnis!“ 🤫

Der Angriff beginnt mit einem kleinen Skript, das unbemerkt zwei Hauptdateien herunterlädt. Einer kontrolliert die Ausbreitung des Wurms, während der andere den Banktrojaner Eternidade Stealer installiert. Denn warum einen Bösewicht haben, wenn man zwei haben kann? 🦹‍♂️🦸‍♀️

Das Skript enthält portugiesische Kommentare und Prüfungen für ein brasilianisches portugiesisches System. Wenn keins gefunden wird, wird es heruntergefahren. Dies zeigt, dass es die Angreifer auf lokale Opfer abgesehen haben, nicht auf globale. Denn Brasilien ist ihr Lieblingsspielplatz. 🇧🇷

Angreifer wechselten zudem von älteren PowerShell-Methoden zu einem Python-Skript. Dieses Skript funktioniert über WhatsApp Web und verwendet WPPConnect, um das Senden von Nachrichten zu automatisieren. Denn nichts sagt so viel „Ich bin ein Hacker“ wie Python. 🐍

Es kopiert die vollständige Kontaktliste des Opfers. Außerdem werden Geschäftskonten und Gruppen übersprungen, um sich auf Personen zu konzentrieren, die dem Absender eher vertrauen. Denn warum sollten Sie Fremde ins Visier nehmen, wenn Sie auch Ihre beste Freundin ins Visier nehmen können? 👯‍♀️

Wie der Wurm WhatsApp-Konten kapert (und warum Sie der Nächste sind)

Sobald der Wurm aktiv ist, übernimmt er die WhatsApp-Sitzung des Opfers. Es sammelt Telefonnummern, Namen und Details, die zeigen, ob es sich bei einer Person um einen gespeicherten Kontakt handelt. Denn nichts sagt so sehr „Ich bin ein Stalker“ wie die Kenntnis Ihrer Kontakte. 🕵️‍♂️

Anschließend werden diese Informationen an einen von den Angreifern kontrollierten Server gesendet. Denn wer braucht Privatsphäre, wenn man einen digitalen Spion haben kann? 📶

Anschließend sendet der Wurm eine schädliche Datei an alle Kontakte. Es wird eine kurze Nachrichtenvorlage verwendet, häufig mit einer Begrüßung, die zur Tageszeit passt. Denn nichts sagt mehr „Ich bin freundlich“ als eine Spam-Nachricht um 3 Uhr morgens. 🕒

Viele Menschen vertrauen diesen Nachrichten, weil sie scheinbar von jemandem stammen, den sie kennen. Dies trägt dazu bei, dass sich die Malware in Familien, Freunden und Kollegen verbreitet. Denn Vertrauen ist eine Schwäche. 💔

Die Kampagne ähnelt einem weiteren aktuellen Angriff auf brasilianische Benutzer namens Water Saci. Dieser Angriff verbreitete sich auch über WhatsApp Web und lieferte einen ähnlichen Banktrojaner. Das Muster dieser Hackversuche deutet darauf hin, dass sie von aktiven Gruppen aus Brasilien stammen, und diese Gruppe verfeinert dieselben Methoden in vielen Kampagnen. Denn nichts sagt so sehr „Ich bin ein Profi“ wie das Wiederholen derselben Tricks. 🎩

Lesen Sie zum Thema: Bundespolizei beschlagnahmt Kryptos von WhatsApp-Hackern in Argentinien (aber warum auf Brasilien warten?)

Was der Eternidade-Stealer nach einer Infektion tut (Spoiler: Nicht viel Gutes)

Der mit dem Wurm gelieferte Trojaner ist die Hauptbedrohung. Es läuft im Hintergrund und durchsucht den Computer nach geöffneten Fenstern, Prozessen und Browser-Registerkarten. Denn nichts sagt so viel „Ich bin ein Vielbeschäftigter“ wie ein Trojaner. 🕵️‍♀️

Eternidade Stealer sucht nach Anmeldebildschirmen von Banken wie Bradesco und BTG Pactual. Es prüft auch auf Fintech-Dienste wie MercadoPago und Stripe. Denn wer möchte nicht Ihre Finanzgeheimnisse erfahren? 💸

Es sucht auch nach Kryptodiensten, darunter Binance, Coinbase, MetaMask und Trust Wallet. Wenn es eine Übereinstimmung erkennt, beginnt es mit der Aufzeichnung von Tastenanschlägen, der Erstellung von Screenshots oder dem Diebstahl gespeicherter Dateien. Denn nichts sagt so sehr „Ich bin ein Dieb“, wie der Diebstahl Ihrer Kryptowährung. 🛡️

Die Malware verwendet sogar eine einzigartige Methode, um Abschaltungen zu vermeiden, und ist nicht auf einen festen Server angewiesen. Stattdessen meldet es sich mit fest codierten Anmeldeinformationen bei einem voreingestellten E-Mail-Posteingang an. Denn nichts sagt mehr „Ich bin sicher“ als eine fest codierte E-Mail. 📧

Es liest den Posteingang auf neue Befehle der Angreifer. Wenn der Posteingang fehlschlägt, wird er an eine Backup-Serveradresse zurückgegeben. Dieses Setup hilft der Malware, Änderungen oder Deaktivierungen zu überstehen. Denn nichts sagt mehr „Ich bin belastbar“ als ein Backup-Plan. 🛠️

Forscher fanden heraus, dass die Angreifer Panels betreiben, um infizierte Geräte zu verwalten. Sie überwachen den Aufenthaltsort der Opfer und blockieren fast den gesamten Verkehr, der nicht aus Brasilien oder Argentinien kommt. Dies hält ihre Server davon ab, Aufmerksamkeit zu erregen. Denn nichts sagt mehr „Ich bin subtil“ als das Blockieren des Datenverkehrs. 🚫

Dies hält ihre Server davon ab, Aufmerksamkeit zu erregen. Denn nichts sagt mehr „Ich bin unsichtbar“ als ein gut geschützter Server. 🕳️

Weiterlesen

2025-11-20 18:17