Uma campanha de malware em curso está visando usuários do WhatsApp em diversos países, utilizando mensagens enganosas que distribuem arquivos VBScript para obter acesso remoto a sistemas.
Os criminosos utilizam nomes de arquivos que simulam documentos comerciais e financeiros, enviados a partir de contas de contatos da própria vítima que foram previamente comprometidas.
Ao baixar e executar os anexos maliciosos, o usuário inicia uma cadeia de infecção que resulta na instalação do software legítimo ManageEngine Endpoint Central.
Esta ferramenta, normalmente utilizada por administradores de TI para gerenciar sistemas a partir de um painel centralizado, é configurada silenciosamente em segundo plano para permitir que os atacantes controlem o computador da vítima.
Detalhes da operação e alcance global
Dados de telemetria da empresa de cibersegurança Kaspersky indicam que a campanha se espalha por países como Brasil, Índia, México, Singapura, Reino Unido, Espanha, Taiwan, Austrália, Rússia, Vietnã e Malásia.
Os ataques começam com mensagens contendo um arquivo VBS altamente ofuscado, disfarçado de relatórios financeiros, faturas ou avisos de conta.
A Kaspersky explica que os atacantes obtiveram acesso a várias contas do WhatsApp para distribuir os arquivos, embora o método exato de comprometimento das contas ainda seja desconhecido.
Se o arquivo for aberto no Windows, o script busca dois scripts adicionais na infraestrutura dos atacantes, que desativam as proteções do UAC (User Account Control) por meio de modificações no Registro e baixam o programa de acesso remoto.
Embora a Kaspersky não atribua os ataques a um grupo específico, foram encontrados sinais de uso do idioma chinês e sobreposição de infraestrutura com IPs anteriormente associados às atividades do ValleyRAT e Gh0st RAT. Contudo, não há evidências suficientes para uma atribuição definitiva.
Para se proteger, recomenda-se:
- Tratar arquivos enviados por contatos, mesmo os de confiança, com extrema cautela.
- Verificar a autenticidade do envio por meios secundários antes de abrir qualquer anexo.
- Escanear todos os arquivos baixados com um antivírus atualizado antes da execução.
Fonte: Bleeping
