全球7000種惡意軟件家族，能同時(shí)感染即時(shí)通訊和郵件系統(tǒng)的不到1%。

安全研究人員最近拆解了一個(gè)代號(hào)REF3076的攻擊活動(dòng)，核心是一款名為TCLBANKER的巴西銀行木馬。這不是從零寫的新程序，而是Maverick和SORVEPOTEL兩個(gè)舊家族的重大升級(jí)版。它的傳播方式相當(dāng)隱蔽：先把自己打包成帶數(shù)字簽名的羅技安裝程序，再通過WhatsApp和Outlook自動(dòng)擴(kuò)散。

整個(gè)攻擊鏈條從用戶下載一個(gè)ZIP壓縮包開始。壓縮包里藏著一個(gè)安裝程序，這個(gè)安裝程序?yàn)E用了羅技真實(shí)的簽名軟件Logi AI Prompt Builder。攻擊者用了一種叫DLL側(cè)加載的技術(shù)——讓合法的羅技程序誤把惡意文件當(dāng)成正常系統(tǒng)組件加載進(jìn)來。一旦這個(gè)隱藏加載器被激活，它就接管系統(tǒng)控制權(quán)，為后續(xù)攻擊做準(zhǔn)備。

TCLBANKER在完全解壓之前會(huì)做大量環(huán)境檢查來躲避安全研究。它會(huì)掃描調(diào)試工具、虛擬機(jī)和特定殺毒軟件，確認(rèn)自己不是在安全沙箱里運(yùn)行。同時(shí)檢查系統(tǒng)語言和時(shí)區(qū)，確保受害者確實(shí)位于巴西。如果環(huán)境不符合真實(shí)巴西用戶的特征，惡意載荷拒絕解密，對(duì)自動(dòng)化安全掃描儀完全隱形。

確認(rèn)處于真實(shí)受害機(jī)器后，木馬啟動(dòng)核心功能。它持續(xù)監(jiān)控用戶瀏覽器，檢測(cè)是否訪問了59家目標(biāo)銀行、金融科技平臺(tái)或加密貨幣網(wǎng)站。匹配成功后，木馬連接遠(yuǎn)程服務(wù)器。竊取密碼的手段是用微軟Windows Presentation Foundation制作的全屏覆蓋層——這些覆蓋層鋪滿整個(gè)屏幕，外觀和真實(shí)銀行提示或官方Windows更新界面一模一樣。它們凍結(jié)桌面、屏蔽Windows鍵和Esc等快捷鍵、關(guān)閉截屏工具，讓受害者無法記錄欺詐過程。用戶被迫把安全碼或個(gè)人識(shí)別號(hào)碼直接輸入黑客的偽造界面。

讓TCLBANKER極其危險(xiǎn)的是它的自動(dòng)傳播能力。第一個(gè)蠕蟲模塊瞄準(zhǔn)WhatsApp網(wǎng)頁版。木馬掃描電腦上的Chrome或Edge等瀏覽器，尋找活躍的WhatsApp賬戶。它不請(qǐng)求用戶掃描新二維碼，而是秘密克隆已保存的會(huì)話數(shù)據(jù)。然后打開隱藏瀏覽器窗口，繞過機(jī)器人檢測(cè)，直接向受害者的聯(lián)系人發(fā)送釣魚消息和惡意文件。由于消息來自信任的朋友，新受害者極可能下載文件。

Elastic Security Labs發(fā)現(xiàn)的第二個(gè)蠕蟲模塊針對(duì)郵件。它在后臺(tái)靜默打開Microsoft Outlook，利用Windows COM自動(dòng)化完全控制受害者的郵箱賬戶。