Een nieuw ontdekte malwarecampagne in Meta’s WhatsApp laat aanvallers systemen overnemen via bepaalde scriptbestanden.
Kaspersky heeft een malwarecampagne ontdekt die kwaadaardige VBScript-bestanden verspreidt via berichten in WhatsApp in onder andere Spanje, Duitsland, Rusland en het Verenigd Koninkrijk.
Infectie via verschillende stappen
De aanvallers richten zich vooral op bedrijven via WhatsApp Desktop en WhatsApp Web. Ze sturen bestanden door die lijken op zakelijke en financiële documenten. De malware in die bestanden zetten een VBScript in gang die Remote Monitoring and Management (RMM)-software opzet. Op die manier krijgen de aanvallers toegang tot het systeem vanop afstand.
De bestandsnamen zijn aangepast aan de taal van de slachtoffers om de kans op openen te vergroten. Als een gebruiker het bestand downloadt en uitvoert op een Windows-pc, start een meerstapsinfectie. Het script downloadt extra bestanden van de infrastructuur van de aanvallers en voert wijzigingen door die de beveiliging van Windows verzwakken.
WhatsApp Web vs. WhatsApp Desktop
Kaspersky merkt op dat de aanval iets anders verloopt afhankelijk van hoe het bestand wordt ontvangen. In WhatsApp Web moet het bestand eerst worden gedownload voordat het kan worden uitgevoerd. Bij de desktopapp van WhatsApp kan Windows het script rechtstreeks openen via Windows Script Host (wscript.exe).