Eine laufende Cyberkampagne zielt auf WhatsApp-Nutzer ab und verwendet gefälschte Geschäftsdokumente, um Empfänger zur Installation von Schadsoftware auf ihren Computern zu verleiten. Laut dem Cybersicherheitsunternehmen Kaspersky werden kompromittierte WhatsApp-Konten genutzt, um schädliche Dateien zu verbreiten, die Angreifern Fernzugriff auf infizierte Systeme ermöglichen.
Die Angriffe wurden in mehreren Ländern festgestellt, darunter Brasilien, Indien, Mexiko, Singapur, Großbritannien, Spanien, Taiwan, Australien, Russland, Vietnam und Malaysia.
Gefälschte Dokumente, die von vertrauenswürdigen Kontakten versendet wurden
Die Angriffe beginnen, sobald Nutzer eine Nachricht von einem Kontakt erhalten, dessen WhatsApp-Konto zuvor gehackt wurde. Die Nachricht enthält eine VBScript-Datei, die beispielsweise als Rechnung, Finanzbericht oder Geschäftsdokument getarnt ist.
Die Dateinamen sind an verschiedene Sprachen und Märkte angepasst, was laut Kaspersky zeigt, dass die Kampagne eine globale Reichweite hat.
Kaspersky gibt an, dass die genaue Methode, mit der die WhatsApp-Konten übernommen wurden, noch unbekannt ist.
– Auf Grundlage der von mehreren Opfern gesammelten Beweise und der Analyse eingereichter Proben lässt sich schlussfolgern, dass der Angreifer Zugriff auf mehrere WhatsApp-Konten erlangt und diese genutzt hat, um schädliche VBScript-Dateien an Kontakte in den Kontaktlisten der kompromittierten Nutzer zu verteilen, schreibt er. Kaspersky.
Legitimes Werkzeug, das beim Angriff verwendet wurde
Wenn der Empfänger die Datei herunterlädt und auf einem Windows-Computer öffnet, wird eine Kette von Skripten gestartet, die weitere Dateien von den Servern der Angreifer herunterladen.
Die Skripte nehmen Änderungen an der Windows-Registrierung vor, um den Sicherheitsschutz zu verringern, und laden dann ein ZIP-Archiv herunter, das die ManageEngine Endpoint Central-Software enthält.
Die Software wird üblicherweise von IT-Administratoren zur zentralen Verwaltung von Computern und Servern eingesetzt, dient in dieser Kampagne jedoch dazu, Angreifern Fernzugriff auf den infizierten Computer zu ermöglichen.
Die Installation erfolgt im Hintergrund und ist so konfiguriert, dass sie eine Verbindung zu vom Angreifer kontrollierten Servern herstellt und so die Fernsteuerung des betroffenen Geräts ermöglicht.
Unterschiede zwischen WhatsApp Web und der Desktop-App
Kaspersky weist darauf hin, dass WhatsApp Web-Nutzer die schädliche Datei zuerst herunterladen müssen, bevor sie ausgeführt werden kann.
IN WhatsApp Bei der Desktop-App kann die Datei jedoch direkt über den Windows Script Host geöffnet werden, was den Angriff vereinfacht und das Risiko erhöht, dass Benutzer unwissentlich den Schadcode aktivieren.
Mögliche Verbindungen zu früheren Bedrohungsakteuren
Bislang konnten die Forscher die Angriffe keinem bestimmten Bedrohungsakteur zuordnen, doch die Analyse zeigt einige Hinweise auf die Verwendung chinesischer Sprache und Infrastruktur, die zuvor mit Schadsoftware wie ValleyRAT und Gh0st RAT in Verbindung gebracht wurden.
Gleichzeitig betont Kaspersky, dass die Beweislage für eine sichere Zuordnung nicht ausreicht.
Wie Sie sich schützen können
Kaspersky empfiehlt Nutzern, Dateien, die über Messengerdienste gesendet werden, stets mit Vorsicht zu behandeln, selbst wenn sie von Personen stammen, die sie kennen.
Das Sicherheitsunternehmen empfiehlt den Nutzern Folgendes:
- Verdächtige Dateien sollten über einen anderen Kommunikationskanal mit dem Absender abgeklärt werden.
- Vermeiden Sie das Öffnen unbekannter Skriptdateien oder ausführbarer Dateien.
- Scannt heruntergeladene Dateien mit einem aktuellen Antivirenprogramm.
- Hält Betriebssysteme und Sicherheitsprogramme auf dem neuesten Stand.
- Seien Sie besonders vorsichtig mit Dokumenten, die angeblich Finanz- oder geschäftsbezogene Informationen enthalten.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch