Fonte: https://www.elastic.co/security-labs/tclbanker-brazilian-banking-trojan

A equipe da Elastic Security Labs publicou recentemente uma análise extremamente detalhada sobre uma nova ameaça financeira que vem chamando atenção no cenário de cibersegurança: o TCLBANKER.

O malware representa uma evolução importante dos trojans bancários brasileiros, combinando técnicas modernas de evasão, engenharia social avançada e propagação automatizada utilizando canais legítimos como WhatsApp Web e Microsoft Outlook.

Mais do que apenas identificar uma nova família de malware, o trabalho realizado pela Elastic demonstra a importância de plataformas modernas de observabilidade e segurança na detecção de ameaças sofisticadas que muitas vezes passam despercebidas por soluções tradicionais.

A importância da detecção realizada pela Elastic

Um dos pontos mais relevantes dessa descoberta é justamente o nível técnico da análise conduzida pela Elastic Security Labs.

O relatório mostra como a plataforma conseguiu identificar:

• Técnicas anti-analysis utilizadas pelo loader
• Payloads protegidos e carregados apenas em ambientes válidos
• Comunicação WebSocket com infraestrutura C2
• Monitoramento direcionado a instituições financeiras brasileiras
• Framework de overlays fraudulentos em WPF
• Mecanismos de propagação via WhatsApp Web e Outlook

A análise vai muito além de uma simples detecção por assinatura.

Ela evidencia como soluções modernas de segurança precisam correlacionar comportamento, execução de processos, eventos de sistema operacional, automações suspeitas e padrões de comunicação para identificar ameaças atuais.

Esse é exatamente o cenário onde plataformas como Elastic se destacam.

Um malware desenvolvido para evitar análise

Segundo a Elastic, o TCLBANKER possui um conjunto robusto de técnicas de evasão.

O loader realiza verificações contínuas para detectar:

• Sandboxes
• Máquinas virtuais
• Debuggers
• Ferramentas de análise forense
• Frameworks de instrumentação
• Alterações de integridade do ambiente

Caso o ambiente não seja considerado legítimo, o malware falha propositalmente ao descriptografar seus payloads.

Esse comportamento dificulta análises automatizadas e reduz significativamente a efetividade de soluções tradicionais baseadas apenas em assinatura.

Monitoramento direcionado a bancos brasileiros

Após sua execução, o malware passa a monitorar continuamente a navegação da vítima utilizando UI Automation.

A Elastic identificou monitoramento ativo de 59 domínios brasileiros relacionados a:

• Bancos
• Fintechs
• Serviços financeiros
• Plataformas de criptomoedas

Quando o usuário acessa um dos serviços monitorados, o malware estabelece comunicação com o servidor C2 via WebSocket, permitindo atuação em tempo real pelos operadores.

Esse tipo de operação híbrida, combinando automação com interação humana, torna os ataques muito mais sofisticados e difíceis de detectar.

Overlays fraudulentos em WPF

Outro ponto extremamente interessante identificado pela Elastic foi o framework de overlays desenvolvido em WPF.

Na prática, os operadores conseguem assumir o controle visual da experiência da vítima através de telas fraudulentas em fullscreen.

Entre os recursos observados estão:

• Falsas telas de atualização do Windows
• Solicitações de autenticação
• Bloqueio da interação do usuário
• Simulação de processos do sistema operacional
• Técnicas de engenharia social
• Operações de vishing

Além disso, os overlays foram projetados para dificultar capturas de tela e gravações.

Isso demonstra um nível elevado de maturidade operacional da campanha.

Propagação utilizando aplicações legítimas

Talvez um dos aspectos mais preocupantes seja o módulo worm identificado pela Elastic.

A ameaça utiliza sessões autenticadas já existentes para realizar propagação automatizada.

WhatsApp Web

O malware sequestra sessões autenticadas do WhatsApp Web e envia mensagens maliciosas para contatos da vítima.

Esse modelo aumenta drasticamente a taxa de sucesso da campanha, já que as mensagens são enviadas a partir de contas legítimas.

Microsoft Outlook

No Outlook, o malware utiliza COM automation para disparar campanhas de phishing diretamente pela conta da vítima.

Em ambientes corporativos, isso representa um risco extremamente alto, especialmente porque os e-mails partem de remetentes internos legítimos.

O que esse caso mostra para o mercado

O caso TCLBANKER reforça algo que já observamos há algum tempo no mercado de cibersegurança:

As ameaças modernas não podem mais ser tratadas apenas com abordagens tradicionais de antivírus.

Hoje, identificar ataques sofisticados exige:

• Observabilidade
• Correlação de eventos
• Análise comportamental
• Telemetria avançada
• Threat Hunting
• Resposta rápida
• Visibilidade completa do ambiente

A análise realizada pela Elastic demonstra exatamente a importância desse modelo.

Na BKTECH, acompanhamos constantemente a evolução desse cenário e reforçamos cada vez mais a necessidade de plataformas modernas de observabilidade e segurança para ambientes corporativos e governamentais.

Referência técnica

A análise completa publicada pela Elastic Security Labs pode ser acessada em:

TCLBANKER: Brazilian banking trojan spreading via WhatsApp and Outlook_)