اكتشف باحثو TrendMicro في أبريل 2026 حملة برمجيات خبيثة متطورة طورها برازيليون ضد المؤسسات المالية في البلاد. تم تعقب حصان طروادة المصرفي المسمى Banana RAT تحت الرمز SHADOW-WATER-063 ويستهدف على وجه التحديد 16 بنكًا وطنيًا وبورصة عملات مشفرة باستخدام تقنيات العدوى والاحتيال المتقدمة في الوقت الفعلي.
وكشف التحليل عن بنية معقدة تبدأ بملف ضار متنكر في شكل مستند ضريبي إلكتروني يتم توزيعه عبر تطبيق WhatsApp وروابط التصيد الاحتيالي. يستهدف المشغلون بشكل خاص مستخدمي الشركات المطلعين على نظام الفواتير الإلكترونية البرازيلي، باستخدام أسماء مثل “Consultar_NF-e.bat” لتمويه التهديد.
سلسلة العدوى المكونة من ست خطوات
تتبع عملية العدوى تدفقًا منظمًا بشكل جيد. عندما يقوم الضحية بتشغيل ملف .bat، يتم إطلاق أمر PowerShell المخفي على الفور. يقوم هذا الأمر بتنزيل خطوة ثانية تسمى “msedge.txt” من خادم بعيد، مع الاحتفاظ بجميع التعليمات البرمجية قيد التشغيل في الذاكرة المتطايرة للنظام (RAM) دون لمس وحدة التخزين في نموذج غير مشفر.
البنية التحتية التي يحتفظ بها المشغلون متطورة. يستخدمون خوادم FastAPI كقاعدة تحتوي على تسع طبقات من التشويش في كل حمولة. يحتفظ النظام بمجموعة من 100 إلى 200 نسخة فريدة تم إنشاؤها مسبقًا، وكل طلب من الضحية يستهلك ملفًا مختلفًا.
وهذا يعني أن كل تنزيل له تجزئة فريدة. تقنيات الكشف عن التوقيع التقليدية تفشل تماما في هذه الاستراتيجية. أثناء التحليل، وجد الباحثون أربعة سلاسل متوازية تولد باستمرار حمولات جديدة لإبقاء المجموعة ممتلئة، مما يضمن عدم قدرة برامج مكافحة الفيروسات القائمة على التوقيع على تحديد التهديد.
التحكم الكامل عن بعد والاحتيال في الوقت الحقيقي
بمجرد تنشيطه، يوفر Banana RAT إمكانات الوصول عن بعد الكاملة. يستطيع المشغل نقل شاشة الضحية في الوقت الفعلي عبر تدفق JPEG، مع عمل اللقطات مع شاشات متعددة واحترام إعدادات الدقة. تقوم البرمجيات الخبيثة بإدخال عناصر التحكم في الماوس ولوحة المفاتيح من خلال Win32 APIs، مما يسمح للمشغل بتجميد إدخال الضحية باستخدام وظيفة BlockInput أثناء تشغيل الجهاز عن بعد.
يلتقط برنامج Keylogger المستند إلى GetAsyncKeyState جميع ضغطات المفاتيح في مخزن مؤقت دائري يتكون من ألفي إدخال. تستخدم جميع الاتصالات بين العميل والخادم تشفير AES-256-CBC، حيث يشتق المفتاح من مفتاح رئيسي ثابت عبر SHA-256. تعرض لوحة تحليلات خادم المهاجمين التنزيلات التي تم تتبعها حسب البلد والوقت ونظام التشغيل، وجميع عمليات الوصول المسجلة جاءت من البرازيل.
تستخدم تقنية الاحتيال الرئيسية تراكب ملء الشاشة. عندما يفتح الضحية موقع الويب المصرفي، تعرض البرامج الضارة رسالة تحديث أمان مزيفة تقول “يلزم تحديث الأمان. لا تقم بإيقاف تشغيل جهاز الكمبيوتر الخاص بك.” تعرض الشاشة المزيفة رسومًا متحركة للتقدم من خلال أربع خطوات محاكاة بينما يقوم المشغل بإجراء تحويلات غير مصرح بها في الجلسة المصرفية الحقيقية التي تعمل في الخلفية.
نظام فرعي مخصص لاعتراض رمز Pix وQR
تطبق البرامج الضارة نظامًا فرعيًا محددًا لـ Pix، باستخدام مكتبة ZXing.NET لاكتشاف وفك تشفير رموز QR على الشاشة. عندما يحاول الضحية دفع فاتورة عبر QR، تقوم البرامج الضارة باستبدال بيانات الرمز. تذهب الأموال مباشرة إلى حسابات المجرمين. تتوفر هذه الوظيفة حصريًا للسوق البرازيلية، نظرًا لأن الهدف هو تقنية Pix، وهي غير موجودة في بلدان أخرى.
وجد الباحثون قائمة مشفرة تضم 16 هدفًا مباشرةً في كود مصدر الواجهة الأمامية. جميعها مؤسسات مالية برازيلية أو بورصات عملات مشفرة موجودة في السوق الوطنية:
- إيتاو
- براديسكو
- سانتاندر البرازيل
- صندوق
- بنك البرازيل
- محصول
- بانريسول
- دايكوفال
- سيكوب
- سيكريدي
التوقيع الفني والتطوير المستمر
كشف تحليل البنية التحتية عن بصمات متسقة. يقوم محرك تعدد الأشكال بختم كل حمولة بالرأس “PROTECTED SCRIPT v4.0. Project Banana (MSEDGE EDITION)”. يشير مؤهل الإصدار ورقم الإصدار إلى خط إنتاج يتم تحديثه باستمرار بواسطة المطورين.
تتشارك Banana RAT في قدراتها مع عائلة Tetrade من أحصنة طروادة المصرفية البرازيلية، مثل Grandoreiro وMekotio وCasbaneiro وCHAVECLOAK. يعد تراكب الخدمات المصرفية بملء الشاشة هو السلوك المميز لعائلة البرامج الضارة هذه. لكن الاختلافات المعمارية تميزه عن الباقي: Banana RAT هو عميل PowerShell مُدار بواسطة خادم Python، بينما يتبع الأعضاء الآخرون في عائلة Tetrade معايير مختلفة.
علاوة على ذلك، فإن نظام تعدد الأشكال لكل ضحية يتجاوز النظام الموثق بالنسبة لأفراد الأسرة الآخرين. ولا تتداخل البنية التحتية أيضًا مع المؤشرات المنشورة لـ Grandoreiro في وقت التحليل، مما يشير إلى أن المشغلين استخدموا تقنيات تهرب جديدة لم يتم توثيقها مسبقًا من قبل المجتمع الأمني.
وقد تلقى اتحاد البنوك البرازيلي بالفعل معلومات استخباراتية شاركتها شركة TrendMicro لحماية المؤسسات والعملاء من هذا التهديد المتزايد.