Microsoft-Forscher entdeckten eine Kampagne, die WhatsApp-Anhänge missbraucht, um ein Skript einzuschleusen. Windows Maschinen, die dem Angreifer die Fernsteuerung ermöglichen.
WhatsApp bietet eine Desktop-Anwendung an für Windows und macOS, das Nutzer mit ihren Mobilgeräten synchronisieren können. Desktop-Versionen von WhatsApp werden in der Regel eher als Erweiterungen von mobilen Apps denn als primäre Plattformen genutzt. Obwohl diese Apps also weit verbreitet sind, ist ihre Akzeptanzrate im Vergleich zu mobilen Plattformen wahrscheinlich deutlich geringer.
Letztes Jahr berichteten wir darüber, dass Meta eine Sicherheitslücke geschlossen hat, die es einem Angreifer ermöglichte, beliebigen Code auf einem System auszuführen. Windows System, das in allen WhatsApp-Versionen vor 2.2450.6 existierte.
Die von Microsoft festgestellten Angriffe basieren jedoch ausschließlich auf Social Engineering . Das Ziel erhält einen WhatsApp-Anhang, der harmlos aussieht, aber tatsächlich eine .vbs-Datei (Visualisierungsdatei) ist. Basic Skript) Datei, die Windows kann ausgeführt werden.
Wenn es dem Angreifer gelingt, das Opfer davon zu überzeugen, die Datei auszuführen, Windows , das Skript kopiert eingebaute Windows Die Tools werden in einen versteckten Ordner verschoben und mit irreführenden Namen versehen, sodass sie auf den ersten Blick harmlos erscheinen.
Und die Tools selbst sind zwar legitim, werden aber missbraucht, um Malware herunterzuladen. Eine klassische „Living off the Land“-Technik (LOTL), bei der bereits auf dem System vorhandene Ressourcen genutzt werden, anstatt Malware-Binärdateien einzuschleusen, die bei einem Scan entdeckt würden.
Die folgenden Skripte stammen von bekannten Cloud-Anbietern, sodass der Netzwerkverkehr wie ein normaler Zugriff auf AWS, Tencent Cloud oder Backblaze aussieht und nicht wie der Zugriff auf einen dubiosen Server, der Verdacht erregen würde.
Um andere mögliche Warnmeldungen zu unterbinden, versucht die Malware immer wieder, sich Administratorrechte zu verschaffen, und manipuliert anschließend die UAC-Eingabeaufforderungen (User Account Control) sowie die Registrierungseinstellungen, damit sie unbemerkt Änderungen auf Systemebene vornehmen und auch nach einem Neustart bestehen bleiben kann.
Am Ende der Infektionskette installiert eine nicht signierte MSI-Datei (Microsoft Installer) Fernzugriffssoftware und andere Schadcode-Komponenten, wodurch der Angreifer fortlaufenden direkten Zugriff auf den Rechner und die Daten erhält.
Wie man sicher bleibt
Für Privatanwender und kleine Unternehmen gibt es einige praktische Maßnahmen, um die Sicherheit zu gewährleisten:
- Öffnen Sie keine unaufgefordert zugesandten Anhänge, bevor Sie sich nicht bei einer vertrauenswürdigen Quelle vergewissert haben, dass diese sicher sind.
- Aktivieren Sie im Explorer die Option „Dateiendungen anzeigen“, damit eine Datei, die vorgibt, ein Bild zu sein, aber auf .vbs oder .msi endet, als solche erkannt werden kann.
- Verwenden Sie eine aktuelle Echtzeit -Anti-Malware-Lösung, um unerwünschte Verbindungen zu unterbinden und schädliche Dateien zu erkennen.
- Download Laden Sie die Software ausschließlich von der offiziellen Website des Herstellers herunter und überprüfen Sie, ob die Installationsdateien signiert sind.
- Ignorieren Sie Warnsignale nicht. Unerwartete UAC-Aufforderungen, plötzlich auftauchende neue Software oder ein langsamer werdender Computer nach dem Öffnen eines WhatsApp-Anhangs sind allesamt Gründe für einen Anti-Malware-Scan – und seien Sie gegebenenfalls darauf vorbereitet, das System anhand eines sauberen Backups wiederherzustellen.
- Halten Windows und alle anderen Anwendungen, die derzeit laufen, um zu verhindern, dass bekannte Sicherheitslücken ausgenutzt werden.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersicherheitsrisiken sollten niemals über die Schlagzeile hinausgehen. Schützen Sie Ihre Geräte vor Bedrohungen, indem Sie Malwarebytes noch heute herunterladen .
