TCLBANKER: Бразильський банківський троян, що розповсюджується через WhatsApp та Outlook

SOC Prime Team

Стежити

TCLBANKER: Бразильський банківський троян, що розповсюджується через WhatsApp та Outlook

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

У звіті розглядається TCLBANKER, нововиявлений бразильський банківський троян, який зловживає підписаною установкою Logitech для доставки шкідливого .NET навантаження. Зловмисне програмне забезпечення включає банківський компонент, який використовує накладки WPF для націлювання на фінансові сесії, а також два червеподібні модулі, які зловживають WhatsApp Web та Microsoft Outlook для розповсюдження. Командно-контрольна комунікація здійснюється через інфраструктуру Cloudflare Workers WebSocket, а шкідливе програмне забезпечення включає широкий спектр аналітичних технік, щоб заплутати виявлення та розслідування.

Розслідування

Експерти з Elastic Security Labs проаналізували шкідливий MSI пакет, метод завантаження DLL, .NET завантажувач і обидва модулі розповсюдження. Дослідники відновили URL командно-контрольної центральні, API ключі, деталі запланованого завдання для збереження і список з 59 бразильських банківських доменів, на які націлюється шкідливе ПЗ. Їхній аналіз також документував логіку протидії налагодженню, методи уникнення пісочниці та поведінку наглядача з метою збереження активності та стійкості шкідливого ПЗ.

Зменшення ризику

Захисники повинні блокувати виконання недовіраних установочних пакетів, контролювати завантаження DLL, які пов’язані з LogiAiPromptBuilder.exe, та застосовувати контролі на найменші привілеї в середовищі Outlook і браузеру. Вміст детекцій також повинен охоплювати заплановане завдання RuntimeOptimizeService. Захисні мережеві заходи повинні блокувати виявлені домени Cloudflare Workers та IP-адресу 191.96.224.96.

Реагування

Якщо виявлено TCLBANKER, необхідно негайно ізолювати уражену кінцеву точку, припинити шкідливі процеси, прибрати заплановане завдання і видалити каталог %LocalAppData%LogiAI . Розслідувачі повинні зберегти судово-медичні докази, такі як хеші DLL і трафік командно-контрольної мережі, для обміну інформацією. Компрометовані облікові дані Outlook і WhatsApp повинні бути скинуті, а середовище повинно контролюватися на предмет нових спроб поширення.

graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef persistence fill:#ccccff classDef c2 fill:#ffdd99 %% Вузли user_execution[“Дія – T1204.002 Виконання користувачем Користувач запускає шкідливий MSI після розпакування ZIP”] class user_execution action delivery_zip[“Дія – T1546.016 Виконання через події: інсталяційні пакети MSI доставляється всередині ZIP через підписаний інсталятор Logitech”] class delivery_zip action malicious_msi[“Шкідливе ПЗ – Назва: шкідливий MSI Опис: вбудований у ZIP і запускається через підписаний інсталятор”] class malicious_msi malware signed_logitech_installer[“Інструмент – Назва: інсталятор Logitech Logi AI Prompt Builder (підписаний)”] class signed_logitech_installer tool logiai_exe[“Процес – Назва: LogiAiPromptBuilder.exe”] class logiai_exe process sideloader_dll[“Шкідливе ПЗ – Назва: screen_retriever_plugin.dll (маскується під Flutter-плагін)”] class sideloader_dll malware flutter_framework[“Інструмент – Назва: Flutter framework (довірена dev-утиліта)”] class flutter_framework tool dotnet_reactor[“Інструмент – Назва: .NET Reactor пакер”] class dotnet_reactor tool polymorphic_payload[“Шкідливе ПЗ – Назва: AES-256 зашифрований payload Залежний від середовища ключ забезпечує поліморфізм”] class polymorphic_payload malware env_evasion[“Дія – T1497.002 Уникнення віртуалізації/пісочниці Перевірка користувацької активності, дебагера, VM та регіону”] class env_evasion action locale_check[“Дія – T1614.001 Визначення системної локалі Перевірка LCID, клавіатури та часового поясу (pt-BR)”] class locale_check action scheduled_task[“Постійність – T1053 Заплановане завдання Створює приховане завдання RuntimeOptimizeService при вході в систему”] class scheduled_task persistence screen_capture[“Дія – T1113 Захоплення екрана Захоплення повноекранних PNG з кількох моніторів”] class screen_capture action keylogging[“Дія – T1056.001 Перехоплення вводу: кейлогінг Встановлення низькорівневого WH_KEYBOARD_LL хука”] class keylogging action outlook_bot[“Шкідливе ПЗ – Назва: бот автоматизації Outlook COM”] class outlook_bot malware phishing_action[“Дія – T1566 Фішинг Надсилання фішингових листів з акаунта жертви Outlook”] class phishing_action action email_bombing[“Дія – T1667 Email-бомбардування Масові фішингові розсилки контактам жертви”] class email_bombing action network_logon_script[“Дія – T1037.003 Мережевий логон-скрипт Створення постійного WebSocket-з’єднання”] class network_logon_script action websocket_c2[“C2 – Ендпоінт: wss://mxtestacionamentos.com/ws Аутентифікація: HMAC-SHA256”] class websocket_c2 c2 %% Зв’язки user_execution –>|тригер| delivery_zip delivery_zip –>|містить| malicious_msi malicious_msi –>|виконується через| signed_logitech_installer signed_logitech_installer –>|запускає| logiai_exe logiai_exe –>|завантажує| sideloader_dll sideloader_dll –>|використовує| flutter_framework sideloader_dll –>|упаковано з| dotnet_reactor sideloader_dll –>|містить| polymorphic_payload polymorphic_payload –>|обхід| env_evasion env_evasion –>|включає| locale_check logiai_exe –>|створює| scheduled_task logiai_exe –>|знімає екран| screen_capture logiai_exe –>|перехоплює клавіші| keylogging logiai_exe –>|запускає| outlook_bot outlook_bot –>|виконує| phishing_action outlook_bot –>|виконує| email_bombing logiai_exe –>|налаштовує| network_logon_script network_logon_script –>|підключається до| websocket_c2

Потік атаки

Оповідь атаки та команди:
1. Стадії шкідливого DLL – зловмисник розміщує шкідливий DLL (зло.dll) в тій самій директорії, що і легітимний LogiAiPromptBuilder.exe. DLL не підписано і містить банківське троянське навантаження.
2. Виконання законного бінарного файлу – зловмисник запускає LogiAiPromptBuilder.exe безпосередньо з Провідника (або сеансу PowerShell), що викликає процес завантажити шкідливий DLL через порядок пошуку DLL ОС (завантаження на бік).
3. Вихідна телеметрія – Sysmon/Event ID 1 реєструє створення процесу, де Зображення закінчується на logiaipromptbuilder.exe and ParentImage закінчується на explorer.exe. Оскільки батьківська програма знаходиться в списку виключень, правило Sigma має спрацювати. not in the exclusion list, the Sigma rule should fire.

Тестовий скрипт для регресії:

# -------------------------------------------------------------------------
# Симуляція завантаження DLL TCLBANKER – PowerShell
# -------------------------------------------------------------------------
# 1. Визначте шляхи (налаштуйте, якщо запускається на іншій робочій станції)
$logiPath = "$env:ProgramFilesLogitechLogiAiPromptBuilder.exe"
$dllPath  = "$env:ProgramFilesLogitechevil.dll"

# 2. Створіть фіктивний шкідливий DLL (для демонстраційних цілей, просто копія Блокнота)
Write-Host "[+] Стадіювання шкідливого DLL (імітоване навантаження)..."
Copy-Item -Path "$env:SystemRootSystem32notepad.exe" -Destination $dllPath -Force

# 3. Запустіть законний бінарний файл (батьківський буде поточним процесом PowerShell)
Write-Host "[+] Виконання LogiAiPromptBuilder.exe для запуску завантаження на бік..."
Start-Process -FilePath $logiPath -PassThru | Wait-Process

# 4. Необов'язково: Перевірте, що процес був зафіксований (потрібен доступ до Sysmon/ELK)
Write-Host "[+] Симуляція завершена. Перевірте SIEM для виявлення."

Команди очищення:

# -------------------------------------------------------------------------
# Очищення для симуляції TCLBANKER
# -------------------------------------------------------------------------
$dllPath = "$env:ProgramFilesLogitechevil.dll"
if (Test-Path $dllPath) {
    Write-Host "[+] Видалення етапованого шкідливого DLL..."
    Remove-Item -Path $dllPath -Force
}
Write-Host "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно