TCLBANKER木马利用受害者聊天账号自我传播_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

TCLBANKER木马利用受害者聊天账号自我传播

2026-05-10 06:36:22

巴西新型银行木马TCLBANKER劫持通讯账户传播

安全研究人员发现一款名为TCLBANKER的新型巴西银行木马。该木马感染设备后会接管受害者的WhatsApp和Outlook账户，并向其联系人发送钓鱼信息。此次攻击活动被标记为REF3076。基于共用的基础设施与代码模式，研究人员将TCLBANKER与先前已知的恶意软件家族MAVERICK/SORVEPOTEL相关联。

通过AI工具安装包传播

该恶意软件伪装成Logi AI提示构建器的官方安装程序进行传播，该安装程序实际为经过签名的正规罗技应用。安装包以ZIP压缩文件形式分发，通过DLL侧加载技术运行伪装成Flutter插件的恶意文件。加载后，木马会释放两个受.NET Reactor保护的有效负载：其一是银行窃密模块，其二是用于自我传播的蠕虫模块。

恶意文件目录内容示例

多重反分析机制阻碍检测

TCLBANKER加载器通过三个维度构建指纹验证：反调试检查、磁盘内存信息监测以及系统语言设置。该指纹用于生成解密嵌入负载的密钥。若检测到调试器附着、沙箱环境或磁盘空间不足等异常情况，解密过程将输出乱码，恶意软件会自动静默终止运行。

加载器还会修补Windows遥测功能以规避安全工具检测，并通过创建直接系统调用跳板来避开用户态钩子。其内置监控程序持续扫描x64dbg、Ghidra、dnSpy等分析工具进程，一旦发现即停止恶意负载运行。

银行模块精准定位巴西用户

银行窃密模块仅在位于巴西的设备上激活，其通过至少两重地理围栏检查，验证区域代码、时区、系统区域及键盘布局等参数。该模块利用Windows UI自动化技术读取浏览器地址栏信息，支持Chrome、Firefox、Edge等主流浏览器，并以每秒一次的频率监控活动网址。

木马将监测到的网址与59个加密目标网址列表进行匹配，该列表涵盖巴西境内的加密货币平台、银行及金融科技网站。当受害者访问目标网站时，恶意软件会与远程服务器建立WebSocket连接，攻击者随即获得设备的完整远程控制权。

控制建立后，攻击者会通过覆盖层在所有显示器前端显示无边框置顶窗口。该覆盖层在截图中不可见，且能阻止受害者向他人共享屏幕内容。攻击者提供的覆盖层包含三种模板：附带虚假巴西电话号码的凭证窃取表单、伪造的Windows更新进度界面，以及消耗受害者注意力的"语音钓鱼等待屏幕"。

通讯平台蠕虫式传播

第二个负载模块通过两种途径扩散木马：WhatsApp网页版与Outlook邮箱系统。WhatsApp机器人通过定位Chromium浏览器的本地数据库目录，查找活跃的WhatsApp Web会话。随后克隆浏览器配置文件并启动无头Chromium实例，通过注入JavaScript代码绕过机器人检测机制，最终窃取受害者联系人列表并发送携带TCLBANKER安装程序的钓鱼消息。

Outlook机器人则通过COM自动化技术连接邮箱系统，从联系人文件夹和收件箱历史中提取邮件地址，利用受害者账户发送主题为"电子发票可打印"的钓鱼邮件。邮件中嵌入仿冒巴西ERP平台的钓鱼域名链接。由于邮件发自真实账户，此类攻击更易绕过垃圾邮件过滤系统。

近期安全报告显示，已出现针对超过800款加密货币、银行及社交媒体应用的安卓木马家族，通过虚假登录覆盖层窃取信息。另有名为StepDrainer的恶意软件通过伪造Web3钱包连接界面，在全球超过20个区块链网络中进行资产窃取。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文