TCLBanker-skadevare sprer seg gjennom WhatsApp og Outlook

TCLBanker-kampanjen skaper stor bekymring etter at forskere oppdaget en banktrojaner som kan spre seg automatisk gjennom WhatsApp og Microsoft Outlook.

Sikkerhetsanalytikere advarte om at skadevaren retter seg mot banktjenester, fintech-plattformer og kryptovalutakontoer samtidig som den bruker ormlignende funksjoner for å infisere flere ofre. Kampanjen benytter også falske programinstallasjoner som utgir seg for å være legitime applikasjoner.

Falsk Logitech-installasjon leverer skadevare

Forskere oppdaget at TCLBanker-skadevare sprer seg gjennom et ondsinnet installasjonsprogram som etterligner Logitech AI Prompt Builder-programvare. Ofre som laster ned og kjører det falske installasjonsprogrammet, infiserer systemene sine uten å være klar over det.

Angripere fortsetter å misbruke kjente programvaremerker fordi brukere er mer tilbøyelige til å installere applikasjoner som ser legitime ut. Falske installasjonsprogrammer er fortsatt en av de vanligste metodene for å spre skadevare i både privat- og bedriftsmiljøer.

Når TCLBanker er installert, distribuerer den flere ondsinnede komponenter som er utviklet for å stjele innloggingsopplysninger og overvåke brukeraktivitet. Forskere opplyste at skadevaren retter seg mot dusinvis av finans- og kryptovalutaplattformer.

Kampanjen ser hovedsakelig ut til å fokusere på tyveri av legitimasjon og økonomisk svindel.

WhatsApp- og Outlook-funksjoner øker trusselen

Den farligste funksjonen knyttet til TCLBanker handler om dens evne til å spre seg selv. Forskere oppdaget moduler som gjør det mulig for skadevaren å distribuere ondsinnet innhold automatisk gjennom WhatsApp- og Microsoft Outlook-kontoer.

Denne funksjonen gjør det mulig for infeksjoner å spre seg raskt gjennom betrodde kommunikasjonskanaler. Kontakter er mer tilbøyelige til å åpne skadelige filer eller lenker når de ser ut til å komme fra personer de kjenner.

Sikkerhetsforskere advarte om at selvspredende skadevare raskt kan føre til store utbrudd i bedrifter og private nettverk. Når angripere først får tilgang til kommunikasjonsplattformer, kan skadevaren bevege seg lateralt uten behov for avanserte utnyttelsesteknikker.

Outlook-funksjonen skaper ytterligere risiko for bedriftsmiljøer fordi infiserte systemer kan spre ondsinnede e-poster internt i organisasjoner.

Bankskadevare fortsetter å utvikle seg

Forskere bemerket at moderne banktrojanere har utviklet seg langt utover enkle verktøy for passordtyveri. Operatører bak skadevaren kombinerer nå tyveri av legitimasjon, misbruk av kommunikasjonsplattformer, persistensmekanismer og automatiserte spredningsfunksjoner.

Trusselaktører fortsetter også å rette stadig større fokus mot kryptovalutatjenester og fintech-plattformer. Disse tjenestene gir ofte direkte tilgang til digitale eiendeler og finansielle transaksjoner.

Cybersikkerhetseksperter advarte om at angripere i økende grad utvikler skadevare for å maksimere spredning i stedet for kun å ramme enkeltstående ofre. Selvspredende funksjoner gjør det mulig for kampanjer å vokse mye raskere etter de første infeksjonene.

Kombinasjonen av finansrelatert skadevare og misbruk av kommunikasjonsplattformer fortsetter å skape nye utfordringer for sikkerhetsteam.

Organisasjoner bør overvåke mistenkelig aktivitet

Sikkerhetsanalytikere anbefalte organisasjoner å overvåke uvanlig MSI-installasjonsaktivitet, mistenkelige utgående e-poster og uautorisert meldingsaktivitet knyttet til ansattes kontoer.

Brukere bør unngå å laste ned programvare fra uoffisielle kilder og verifisere installasjonsfiler før de kjøres. Sikkerhetsteam anbefalte også å aktivere multifaktorautentisering på bank- og kryptovalutakontoer for å redusere risiko knyttet til stjålne legitimasjonsopplysninger.

Bedrifter bør styrke endpoint-overvåking og e-postfiltrering fordi ormlignende skadevare kan spre seg raskt etter at angripere kompromitterer én enkelt enhet.

Konklusjon

TCLBanker-kampanjen viser hvordan banktrojanere fortsetter å utvikle seg til mer aggressive og automatiserte trusler. Ved å kombinere tyveri av legitimasjon med selvspredende funksjoner i WhatsApp og Outlook økte angriperne den potensielle påvirkningen på både private og bedriftsbaserte systemer. Sikkerhetsforskere forventer at lignende skadevareoperasjoner vil fortsette å vokse etter hvert som cyberkriminelle grupper videreutvikler automatisert spredning og finansielt fokuserte angrep.