Onderzoekers van Microsoft hebben een campagne ontdekt die misbruik maakt van WhatsApp-bijlagen om stiekem een script te installeren. Windows machines die de aanvaller in staat zullen stellen om op afstand de controle te verkrijgen.
WhatsApp biedt een desktopapplicatie aan voor Windows en macOS, waarmee gebruikers kunnen synchroniseren met hun mobiele apparaten. Desktopversies van WhatsApp worden over het algemeen gebruikt als uitbreidingen van mobiele apps in plaats van als primaire platforms. Hoewel deze apps dus veel gebruikt worden, is hun adoptiepercentage waarschijnlijk aanzienlijk lager in vergelijking met mobiele platforms.
Vorig jaar schreven we over Meta dat een kwetsbaarheid dichtte waardoor een aanvaller willekeurige code kon uitvoeren op een systeem. Windows systeem dat in alle WhatsApp-versies vóór 2.2450.6 bestond.
De aanvallen die Microsoft heeft ontdekt, zijn echter uitsluitend gebaseerd op social engineering . Het slachtoffer ontvangt een WhatsApp-bijlage die er onschuldig uitziet, maar in werkelijkheid een .vbs-bestand (Visual Text) is. Basic Script) bestand dat Windows kan uitvoeren.
Als de aanvaller erin slaagt het slachtoffer over te halen het bestand uit te voeren op Windows , het script kopieert ingebouwde Windows De tools worden in een verborgen map geplaatst en krijgen misleidende namen, zodat ze op het eerste gezicht onschadelijk lijken.
En de tools zelf zijn legitiem, maar ze worden misbruikt om malware te downloaden. Een klassieke ‘living off the land’ (LOTL)-techniek, waarbij gebruik wordt gemaakt van wat er al op het systeem staat, in plaats van malwarebestanden te introduceren die bij een scan zouden worden opgemerkt.
De volgende scripts zijn afkomstig van populaire cloudproviders, zodat het netwerkverkeer eruitziet als normale toegang tot AWS, Tencent Cloud of Backblaze, in plaats van naar een verdachte server die argwaan zou wekken.
Om andere mogelijke waarschuwingen uit te schakelen, blijft de malware pogingen ondernemen om zichzelf beheerdersrechten te verlenen, waarna hij de UAC-meldingen (User Account Control) en registerinstellingen aanpast, zodat hij ongemerkt wijzigingen op systeemniveau kan doorvoeren die ook na een herstart behouden blijven.
Aan het einde van de infectieketen installeert een niet-ondertekende MSI (Microsoft Installer) software voor toegang op afstand en andere schadelijke code, waardoor de aanvaller blijvend directe toegang krijgt tot de computer en de gegevens.
Hoe blijf ik veilig
Voor thuisgebruikers en kleine bedrijven zijn er enkele praktische maatregelen om veilig te blijven:
- Open geen ongevraagde bijlagen voordat u bij een betrouwbare bron hebt gecontroleerd of ze veilig zijn.
- Schakel de optie ‘Bestandsnaamextensies weergeven’ in Verkenner in, zodat een bestand dat zich voordoet als afbeelding maar eindigt op .vbs of .msi, als zodanig kan worden herkend.
- Gebruik een up-to-date realtime anti-malwareoplossing om ongewenste verbindingen te blokkeren en schadelijke bestanden op te sporen.
- Download Download software uitsluitend van de officiële website van de leverancier en controleer of de installatieprogramma's digitaal ondertekend zijn.
- Negeer waarschuwingssignalen niet. Onverwachte UAC-meldingen, software die plotseling verschijnt of een computer die traag wordt na het openen van een WhatsApp-bijlage: dit zijn allemaal redenen om een antimalwarescan uit te voeren en, indien nodig, klaar te staan om je systeem te herstellen vanaf een schone back-up.
- Houden Windows en alle andere actuele applicaties om te voorkomen dat bekende kwetsbaarheden worden misbruikt.
Van het melden van bedreigingen tot het verwijderen ervan.
Cyberbeveiligingsrisico's mogen nooit verder reiken dan een krantenkop. Bescherm uw apparaten tegen bedreigingen door Malwarebytes vandaag nog te downloaden .
