O malware Astaroth adicionou uma nova maneira de se espalhar, transformando uma sessão do WhatsApp Web de uma vítima em um canal de entrega para o mesmo malware. O trojan bancário envia mensagens convincentes e um anexo ZIP malicioso para pessoas na própria lista de contatos do usuário, explorando a confiança em remetentes familiares. Isso dá aos atacantes uma rota mais rápida para conversas pessoais e comerciais.
Evolução do Astaroth
Campainhas anteriores confiavam principalmente em e-mails de phishing e arquivos de atalho que lançavam uma cadeia de infecção oculta no Windows. O novo componente muda a entrega para o WhatsApp Web, permitindo que a operação se mova de uma conta comprometida para muitos contatos sem que o atacante escreva cada mensagem.
Para os destinatários, o remetente familiar pode reduzir a suspeita e aumentar as chances de que eles abram o anexo. Analistas da CrowdStrike identificaram o novo componente spambot no quarto trimestre de 2025, descrevendo-o como uma expansão significativa das operações do Astaroth.
Foco no Brasil
A CrowdStrike disse em um relatório compartilhado com a Cyber Security News (CSN) que a atividade é focada no Brasil, com filtragem para números de telefone brasileiros, mensagens em português e configurações de navegador que correspondem a usuários locais. A ameaça importa porque o Astaroth não está simplesmente enviando spam de uma conta falsa. Ele usa uma sessão legítima já conectada ao WhatsApp Web e alcança automaticamente pessoas que podem conhecer a vítima.
Análise Técnica do Spambot
Uma vez ativo, o spambot cria uma sessão de navegador oculta através do WebDriver, uma ferramenta legítima de automação de navegador. Ele copia o perfil do navegador da vítima, que pode incluir cookies de sessão e informações salvas, e abre o WhatsApp Web sem exibir uma janela de navegador visível.
O malware verifica se o WhatsApp Web está totalmente carregado e se a vítima já está logada antes de coletar contatos. Ele exclui grupos, listas de transmissão, dispositivos vinculados, contatos não salvos, o próprio número da vítima e números fora do Brasil. Essa abordagem seletiva sugere que os operadores querem limitar o ruído enquanto se concentram em seus alvos preferidos.
Antes de enviar mensagens, o Astaroth recupera um payload ZIP de um servidor selecionado em sua configuração. Em seguida, escolhe uma saudação em português com base no horário local, anexa o arquivo ZIP e envia uma mensagem de corpo para cada contato selecionado.
Indicadores de Comprometimento (IoCs)
Os indicadores de comprometimento incluem hashes SHA-256 para o spambot criptografado e descriptografado, além de domínios de servidor C2 como stretar7[.]contabilfacil[.]sbs e graconxonjal[.]empresaeficiente[.]sbs. Também foram identificados componentes relacionados ao Vareg, outro spambot focado em WhatsApp.
Recomendações de Defesa
Os usuários devem tratar arquivos ZIP inesperados, links e comandos com cautela, incluindo aqueles recebidos de contatos conhecidos. As organizações podem reduzir a exposição limitando o WhatsApp Web onde não é necessário, observando downloads incomuns do WebDriver e atividade de navegador oculta, e revisando cópias inesperadas de perfil de navegador.
As equipes também devem monitorar downloads da biblioteca WPPConnectWA-JS quando não for necessária para atividade comercial. Proteções de download do navegador, treinamento de conscientização do usuário e relatórios rápidos de mensagens suspeitas do WhatsApp podem ajudar a impedir que uma conta comprometida se torne um ponto de distribuição mais amplo.