بدافزار Eternidade Stealer یک تهدید جدید و پیچیده در حوزه بدافزارهای بانکی است که با هدف سرقت اطلاعات حساس مالی و انجام کلاهبرداری‌های گسترده طراحی شده است. این تهدید که اولین بار در اواخر سال ۲۰۲۵ مستند شد، عمدتاً از طریق پیام‌های فیشینگ (Phishing) در پلتفرم واتس‌اپ توزیع می‌گردد و هدف اصلی آن سرقت اعتبار بانکی و کنترل از راه دور سیستم‌های قربانی است.
تحلیل زنجیره آلودگی (Infection Chain)
فرآیند حمله با یک فایل مخرب با پسوند .msi آغاز می‌شود که با استفاده از تکنیک‌های فریب (Masquerading)، خود را به عنوان یک نصب‌کننده پایگاه داده (Database Installer) جا می‌زند. این فایل از طریق اسکریپت‌های VBScript و AutoIt، مراحل زیر را طی می‌کند:
- تثبیت پایداری (Persistence): ایجاد کلیدهای رجیستری در مسیر
Runبرای اطمینان از اجرای مجدد بدافزار پس از ری‌استارت سیستم. - استخراج و رمزگشایی: استفاده از اسکریپت‌های AutoIt برای رمزگشایی بلوک‌های داده Base64 و اجرای یک ارکستراتور (Orchestrator) سفارشی.
- تزریق فرآیند (Process Injection): بدافزار با استفاده از تکنیک Process Hollowing، پی‌لود نهایی خود را به داخل فرآیندهای سیستمی مانند
RegSvcs.exeتزریق می‌کند تا از شناسایی توسط ابزارهای امنیتی جلوگیری کند.
قابلیت‌های فنی و عملیاتی
Eternidade Stealer فراتر از یک سرقت‌کننده ساده اطلاعات (Credential Stealer) عمل کرده و قابلیت‌های یک Remote Access Trojan (RAT) کامل را داراست. قابلیت‌های کلیدی شناسایی شده عبارتند از:
- کنترل از راه دور: امکان استریم زنده صفحه نمایش (Screen Streaming)، کنترل ماوس و کیبورد، و مدیریت پنجره‌های فعال.
- شنود و سرقت داده: قابلیت Keylogging برای ثبت keystrokes، دستکاری کلیپ‌بورد (Clipboard Manipulation) و اسکرین‌شات‌گیری از پنجره‌های حساس بانکی.
- مدیریت فایل و سیستم: امکان آپلود و دانلود فایل‌ها، اجرای دستورات سیستم (Command Execution) از طریق
cmd.exe، و حذف خودکار ردپاها (Self-deletion). - هدف‌گیری هوشمند: شناسایی خودکار ۹۵ بانک مختلف در مناطق برزیل و آمریکای لاتین برای تمرکز بر سرقت اعتبار بانکی.
مکانیزم فرماندهی و کنترل (C2)
این بدافزار برای ارتباط با سرورهای مهاجم از پروتکل‌های مختلفی استفاده می‌کند. دستورات دریافتی از سمت سرور C2 به صورت رمزنگاری شده ارسال شده و شامل دستوراتی برای مدیریت نشست‌ها، جستجوی فایل‌ها، و حتی تغییر رزولوشن صفحه نمایش قربانی جهت بهینه‌سازی نظارت از راه دور است. مهاجم می‌تواند از طریق این کانال، به صورت تعاملی بر سیستم قربانی مسلط شده و عملیات کلاهبرداری را هدایت کند.
