Une campagne active au Br\u00e9sil propage un malware via WhatsApp. Les chercheurs d\u00e9crivent un ver qui d\u00e9tourne les sessions, s\u2019auto-diffuse vers les contacts et d\u00e9ploie ensuite un trojan bancaire capable de viser banques et portefeuilles crypto. Le mode op\u00e9ratoire combine leurres en portugais, pi\u00e8ces jointes pi\u00e9g\u00e9es et contr\u00f4le \u00e0 distance depuis une infrastructure C2.<\/p>
D\u2019abord, l\u2019attaque prend appui sur un message WhatsApp<\/strong> contenant un fichier ZIP ou un raccourci .lnk pr\u00e9sent\u00e9 comme un re\u00e7u, un avis m\u00e9dical ou un document administratif. L\u2019utilisateur ouvre, le script s\u2019ex\u00e9cute, puis le code prend la main sur la session WhatsApp Web<\/strong>.<\/p> Il renvoie automatiquement le m\u00eame fichier \u00e0 la liste de contacts. La campagne se comporte alors comme un ver : chaque victime devient relais, ce qui acc\u00e9l\u00e8re la diffusion<\/strong>.<\/p> Les rapports mentionnent un encha\u00eenement technique en deux branches<\/strong>. Une charge Python orchestre la propagation via WhatsApp Web. Un installateur MSI d\u00e9pose la brique voleur baptis\u00e9e Eternidade Stealer. Les op\u00e9rateurs mettent \u00e0 jour les messages, r\u00e9cup\u00e8rent les carnets d\u2019adresses et modulent les commandes \u00e0 distance.<\/p> Le ph\u00e9nom\u00e8ne s\u2019inscrit \u00e9galement dans une tendance plus large. Depuis octobre, plusieurs familles proches ciblent les utilisateurs br\u00e9siliens. Les chercheurs ont document\u00e9 des campagnes Maverick et Coyote qui d\u00e9tournent des navigateurs, abusent de WhatsApp Web et se d\u00e9sactivent parfois hors du Br\u00e9sil<\/a>. D\u2019autres travaux d\u00e9crivent SORVEPOTEL, un ver qui s\u2019appuie sur WhatsApp pour atteindre postes domestiques et machines d\u2019entreprises. WhatsApp est devenu un vecteur privil\u00e9gi\u00e9 par des groupes bancaires locaux<\/strong> tr\u00e8s outill\u00e9s.<\/p>