Malware Whiffy Recon descobre localização Wi-Fi de máquinas Windows
A descoberta do malware Whiffy Recon trouxe à luz um desenvolvimento preocupante no mundo da segurança cibernética. Esse malware, distribuído por meio do SmokeLoader, um malware de carregamento usado principalmente para lançar cargas adicionais em máquinas Windows comprometidas, representa uma ameaça significativa.
O modus operandi do Whiffy Recon é único. Ele opera verificando pontos de acesso Wi-Fi próximos a cada 60 segundos, usando os dados coletados como ponto de referência para a API de geolocalização do Google. As informações de localização recuperadas dessa API são então enviadas de volta aos agentes mal-intencionados, permitindo-lhes identificar a localização do sistema infectado.
SmokeLoader, como o próprio nome sugere, é principalmente um malware de carregamento. Sua principal função é facilitar a entrega de outros malwares em um host. Desde 2014, está disponível para venda a agentes de ameaças baseados na Rússia e é frequentemente distribuído através de e-mails de phishing.
As intrincadas operações do Whiffy Recon
Whiffy Recon está programado para procurar o serviço WLAN AutoConfig (WLANSVC) em sistemas infectados. Se não encontrar este serviço, ele se encerra. É importante ressaltar que o scanner não valida se o serviço está operacional ou não.
Para garantir a persistência, Whiffy Recon adiciona um atalho à pasta de inicialização do Windows. Além disso, ele se registra em um servidor remoto de comando e controle (C2), enviando um "botID" gerado aleatoriamente em uma solicitação HTTP POST. Em resposta, o servidor envia uma mensagem de sucesso e um identificador exclusivo, que é então armazenado em um arquivo chamado "%APPDATA%\Roaming\wlan\str-12.bin."
A segunda fase do ataque envolve a verificação contínua de pontos de acesso Wi-Fi usando a API WLAN do Windows. Os resultados da verificação são então encaminhados para a API de geolocalização do Google, permitindo a triangulação da localização do sistema infectado. Esta informação é posteriormente transmitida ao servidor C2 na forma de uma string JSON.
Compreender como o Whiffy Recon opera é crucial para combater sua ameaça. Esta seção analisa a funcionalidade do malware, desde seus mecanismos de iniciação e persistência até suas atividades de reconhecimento, oferecendo insights sobre suas técnicas para localizar máquinas Windows por meio de pontos de acesso Wi-Fi próximos e transmitir esses dados a agentes mal-intencionados.
