マイクロソフトの研究者たちは、WhatsAppの添付ファイルを悪用してスクリプトを忍び込ませるキャンペーンを発見した。 Windows 攻撃者が遠隔操作権を獲得する可能性のある機器。
WhatsAppはデスクトップアプリケーションを提供していますWindows また、macOS版はモバイルデバイスと同期できます。WhatsAppのデスクトップ版は、一般的にモバイルアプリの拡張機能として利用されており、主要なプラットフォームとして使われているわけではありません。そのため、これらのアプリは広く利用されているものの、モバイルプラットフォームと比較すると普及率は著しく低いと考えられます。
昨年、私たちはMetaが攻撃者が任意のコードを実行できる脆弱性を修正したことについて記事を書きました。 Windows WhatsAppのバージョン2.2450.6より前のすべてのバージョンに存在していたシステム。
しかし、Microsoftが発見した攻撃は、ソーシャルエンジニアリングのみに基づいています。ターゲットは、一見無害に見えるWhatsApp添付ファイルを受け取りますが、実際には.vbs（Visual Studio Code）ファイルです。 Basic スクリプト）ファイルWindows 実行可能です。
攻撃者が被害者にファイルを実行させることに成功した場合Windowsスクリプトは組み込みのコピーをしますWindows ツールを隠しフォルダに格納し、一見無害に見えるように紛らわしい名前を付ける。
これらのツール自体は正当なものではありますが、マルウェアをダウンロードするために悪用されています。これは、スキャンで検出されてしまうマルウェアのバイナリを導入する代わりに、システム上にすでに存在するリソースを利用する、典型的な「リビング・オフ・ザ・ランド（LOTL）」の手法です。
以下のスクリプトは、主要なクラウドプロバイダーから取得したものです。そのため、ネットワークトラフィックは、不審なサーバーへのアクセスではなく、AWS、Tencent Cloud、またはBackblazeへの通常のアクセスのように見えます。
その他のアラームを無効にするため、このマルウェアは繰り返し管理者権限の取得を試み、UAC（ユーザー アカウント コントロール）の警告メッセージやレジストリ設定を改変することで、システムレベルの変更をユーザーに気付かれずに実行し、再起動後も存続できるようにします。
感染の最終段階では、署名のないMSI（Microsoft Installer）ファイルによってリモートアクセスソフトウェアやその他のペイロードがインストールされ、攻撃者はそのマシンやデータに対して継続的かつ直接的なアクセス権限を獲得します。
安全に過ごすには
一般ユーザーや小規模事業者の方々が安全を確保するために、いくつかの実用的な対策があります：
- 信頼できる情報源から安全であることを確認するまでは、見知らぬ送信元からの添付ファイルを開かないでください。
- エクスプローラーで「ファイル名の拡張子を表示する」をオンにすると、画像ファイルと偽って表示されるものの、拡張子が .vbs や .msi であるファイルを識別できるようになります。
- 最新のリアルタイムマルウェア対策ソリューションを使用して、不正な接続を阻止し、悪意のあるファイルを特定してください。
- Download ソフトウェアは必ずベンダーの公式サイトからダウンロードし、インストーラーに署名があることを確認してください。
- 警告サインを見逃さないでください。予期せぬUAC（ユーザーアカウント制御）の警告が表示されたり、新しいソフトウェアが突然現れたり、WhatsAppの添付ファイルを開いた後にパソコンの動作が重くなったりした場合は、すべてマルウェア対策ソフトによるスキャンを行うべき理由となります。必要に応じて、クリーンなバックアップから復元できるよう準備しておきましょう。
- 保つWindows また、既知の脆弱性を悪用されないように、他のすべてのアプリケーションも最新の状態に保ってください。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
