В інтернеті почав поширюватися шкідливий програмний засіб Lotusbail для перехоплення повідомлень і викрадення акаунтів WhatsApp

Експерти з кібербезпеки компанії Koi Security виявили шкідливий npm-пакет Lotusbail, який дозволяє підключатися до WhatsApp через API, але при цьому потайки викрадає дані для доступу до облікового запису жертви та сканує її переписку.

Джерело зображення: koi.ai

Шкідливий пакет Lotusbail доступний для завантаження вже шість місяців, і за цей час його завантажили більше 56 тисяч разів. Програмне рішення справді небезпечне, оскільки воно виконує заявлені недобросовісними розробниками функції, надаючи API для доступу до WhatsApp. Пакет є форком, тобто відгалуженням відомої та безпечної бібліотеки Baileys, і дозволяє надсилати та отримувати повідомлення в WhatsApp.

На додаток до заявлених функцій Lotusbail краде дані користувачів. Підключення до WhatsApp здійснюється через WebSocket — це означає, що всі контакти з інфраструктурою месенджера, включаючи облікові дані та вміст, можуть бути перехоплені зловмисниками. Для шифрування даних використовується власна реалізація RSA, яка доповнюється чотирма рівнями обфускації: маніпуляціями Unicode, стисненням LZString, кодуванням Base-91 та шифруванням AES — упакована таким чином інформація надсилається на сервер зловмисників.

Нарешті, у сам обліковий запис WhatsApp жертви через процес сполучення пристроїв у додатку чату впроваджується бекдор — в результаті встановлюється зв'язок між пристроями жертви та зловмисника. Це означає, що навіть після видалення шкідливого npm-пакета пристрій зловмисника може зберігати зв'язок з обліковим записом нічого не підозрюючого користувача в WhatsApp.

Хочеш дізнатися більше — читай відгуки