Elastic Security Labs heeft een nieuwe Braziliaanse banking trojan geïdentificeerd, genaamd TCLBANKER, die zich verspreidt via WhatsApp en Outlook. Deze malware is een belangrijke update van de MAVERICK/SORVEPOTEL-familie en maakt gebruik van een trojanized Logitech installer om de kwaadaardige payload te laden. De campagne, aangeduid als REF3076, bevat een loader met sterke anti-analyse functies die twee .NET Reactor-beschermde modules activeert: een geavanceerde banking trojan en een wormmodule voor zelfverspreiding.

De banking trojan monitort via UI Automation de adresbalk van de browser en richt zich op 59 Braziliaanse banken, fintechs en cryptodomeinen. Een opvallende eigenschap is een WPF-gebaseerd full-screen overlay framework dat door de operator wordt aangestuurd voor social engineering, zoals het verzamelen van inloggegevens, vishing wachtschermen en nep Windows Update vertragingen. Tegelijkertijd verbergt het framework de overlays voor schermopname tools.

De wormmodules zorgen voor verspreiding via een WhatsApp-bot die geauthenticeerde browsersessies kapert om berichten naar contacten te sturen, en een Outlook e-mailbot die phishingmails verstuurt via de accounts van het slachtoffer met behulp van COM-automatisering. Alle command-and-control (C2) en distributie-infrastructuur draait op Cloudflare Workers onder één account, waarbij ontwikkelaarssporen en een onvolledige phishingpagina erop wijzen dat de campagne zich nog in een vroeg stadium bevindt.

De infectieketen van TCLBANKER begint met een kwaadaardige MSI-installatie die verpakt is in een ZIP-bestand en misbruik maakt van een ondertekend Logitech-programma, de Logi AI Prompt Builder. Hierbij wordt DLL sideloading toegepast op LogiAiPromptBuilder.exe, een legitieme Flutter-applicatie, waarbij een kwaadaardige DLL wordt geladen die zich voordoet als een legitieme Flutter-plugin. De loader is uitgerust met anti-debugging, anti-analyse, string-encryptie, systeemtaalcontroles en een watchdog-systeem om detectie te voorkomen.