Компрометирани акаунти изпращат фалшиви финансови документи
Изследователи от Kaspersky предупредиха за активна злонамерена кампания, насочена към потребители на WhatsApp в множество държави. Нападателите използват компрометирани акаунти, за да изпращат на контактите им файлове, маскирани като финансови отчети, фактури и други бизнес документи.
Телеметричните данни показват, че атаките са регистрирани в Бразилия, Индия, Мексико, Сингапур, Великобритания, Испания, Тайван, Австралия, Русия, Виетнам и Малайзия, което подсказва за глобален мащаб на операцията.
Зловредната верига води до инсталиране на легитимен инструмент
Съобщенията съдържат силно обфускирани VBS файлове, чиито имена са локализирани на различни езици, за да изглеждат по-достоверни. След отварянето им на Windows се изтеглят допълнителни скриптове, които променят системния регистър и деактивират част от защитните механизми на UAC.
Следващата стъпка е изтегляне и инсталиране на ManageEngine Endpoint Central – легитимно решение за централизирано управление на крайни устройства, използвано от ИТ администратори.
Вместо за легитимни цели, софтуерът се конфигурира да се свързва към сървъри, контролирани от нападателите, предоставяйки им пълен отдалечен достъп до системата.
Според Kaspersky при използване на WhatsApp Desktop файловете могат да бъдат стартирани директно чрез Windows Script Host, което улеснява заразяването.
Връзки с китайска инфраструктура, но без категорично приписване
Изследователите не свързват категорично операцията с конкретна група, но са открили признаци за използване на китайски език и инфраструктура, припокриваща се с IP адреси, използвани в кампании на ValleyRAT и Gh0st RAT.
Все пак доказателствата не са достатъчни за еднозначно приписване.
Експертите препоръчват всички файлове, получени чрез WhatsApp, да бъдат третирани с повишено внимание, дори когато са изпратени от познати контакти. Съдържанието трябва да бъде потвърждавано чрез допълнителен канал за комуникация, а изтеглените файлове да се проверяват с актуален антивирусен софтуер преди изпълнение.
