Badacze z Microsoftu odkryli kampanię wykorzystującą załączniki WhatsApp do przemycenia skryptu Windows maszyny, co umożliwi atakującemu uzyskanie zdalnej kontroli.
WhatsApp oferuje aplikację na komputery stacjonarne Windows i macOS, które użytkownicy mogą synchronizować ze swoimi urządzeniami mobilnymi. Wersje WhatsApp na komputery stacjonarne są zazwyczaj używane jako rozszerzenia aplikacji mobilnych, a nie jako główne platformy. Zatem, mimo powszechnego korzystania z tych aplikacji, ich wskaźnik adopcji jest prawdopodobnie znacznie niższy w porównaniu z platformami mobilnymi.
W zeszłym roku pisaliśmy o tym, że Meta zamknęło lukę w zabezpieczeniach, która umożliwiała atakującemu uruchomienie dowolnego kodu na Windows system, który istniał we wszystkich wersjach WhatsApp przed wersją 2.2450.6.
Ataki wykryte przez Microsoft opierają się jednak wyłącznie na socjotechnice . Ofiara otrzymuje załącznik WhatsApp, który wygląda na niegroźny, ale w rzeczywistości jest to plik .vbs (Visual Basic Plik skryptu, który Windows można wykonać.
Jeśli atakującemu uda się przekonać ofiarę do uruchomienia pliku na Windows , skrypt kopiuje wbudowane Windows narzędzia do ukrytego folderu i nadaje im mylące nazwy, aby na pierwszy rzut oka wyglądały nieszkodliwie.
Same narzędzia są legalne, ale są wykorzystywane do pobierania złośliwego oprogramowania. To klasyczna technika typu „living off the land” (LOTL), która wykorzystuje elementy już obecne w systemie zamiast wprowadzać pliki binarne złośliwego oprogramowania, które zostałyby wykryte podczas skanowania.
Poniższe skrypty pochodzą od popularnych dostawców usług w chmurze, dzięki czemu ruch sieciowy wygląda jak zwykły dostęp do AWS, Tencent Cloud lub Backblaze, a nie do jakiegoś podejrzanego serwera, który wzbudziłby podejrzenia.
Aby wyłączyć inne potencjalne alarmy, złośliwe oprogramowanie nieustannie próbuje uzyskać uprawnienia administratora, a następnie modyfikuje komunikaty kontroli konta użytkownika (UAC) oraz ustawienia rejestru, aby móc w tle wprowadzać zmiany na poziomie systemu i zachować swoje działanie po ponownym uruchomieniu komputera.
Na końcu łańcucha infekcji niepodpisany plik MSI (Microsoft Installer) instaluje oprogramowanie umożliwiające zdalny dostęp oraz inne elementy szkodliwe, zapewniając atakującemu stały, bezpośredni dostęp do komputera i danych.
Jak zachować bezpieczeństwo
Użytkownicy prywatni i małe firmy mogą podjąć kilka praktycznych kroków, aby zapewnić sobie bezpieczeństwo:
- Nie otwieraj załączników, których nie zamówiłeś, dopóki nie upewnisz się u zaufanego źródła, że są one bezpieczne.
- Włącz opcję „Pokaż rozszerzenia nazw plików” w Eksploratorze, aby pliki, które rzekomo są obrazami, ale mają rozszerzenia .vbs lub .msi, można było odpowiednio zidentyfikować.
- Korzystaj z aktualnego oprogramowania antywirusowego działającego w czasie rzeczywistym, aby blokować niepożądane połączenia i wykrywać złośliwe pliki.
- Download oprogramowanie pobieraj wyłącznie z oficjalnej strony dostawcy i sprawdzaj, czy instalatory są podpisane.
- Nie ignoruj sygnałów ostrzegawczych. Nieoczekiwane monity UAC, nagłe pojawienie się nowego oprogramowania lub spowolnienie działania komputera po otwarciu załącznika z WhatsApp to powody, dla których warto przeprowadzić skanowanie antywirusowe, a w razie potrzeby przygotować się do przywrócenia systemu z czystej kopii zapasowej.
- Trzymać Windows oraz wszystkie inne aktualne aplikacje zapobiegające wykorzystywaniu znanych luk w zabezpieczeniach.
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .
