Pesquisadores da Microsoft descobriram uma campanha que abusa de anexos do WhatsApp para inserir scripts indevidamente. Windows máquinas que permitirão ao atacante obter controle remoto.
O WhatsApp oferece um aplicativo para desktop. Windows e macOS, que os usuários podem sincronizar com seus dispositivos móveis. As versões para desktop do WhatsApp geralmente são usadas como extensões de aplicativos móveis, e não como plataformas principais. Portanto, embora esses aplicativos sejam amplamente utilizados, sua taxa de adoção provavelmente é significativamente menor em comparação com as plataformas móveis.
No ano passado, escrevemos sobre a Meta corrigindo uma vulnerabilidade que permitia a um invasor executar código arbitrário em um sistema. Windows sistema que existia em todas as versões do WhatsApp anteriores à 2.2450.6.
Os ataques descobertos pela Microsoft, no entanto, baseiam-se exclusivamente em engenharia social . O alvo recebe um anexo do WhatsApp que parece inofensivo, mas na verdade é um arquivo .vbs (Visual Security Code). Basic Arquivo de script) que Windows pode executar.
Se o atacante conseguir convencer a vítima a executar o arquivo em Windows , o script copia funções integradas Windows Ele coloca as ferramentas em uma pasta oculta e lhes dá nomes enganosos para que pareçam inofensivas à primeira vista.
E as próprias ferramentas são legítimas, mas são utilizadas indevidamente para baixar malware. Trata-se de uma técnica clássica do tipo “living off the land” (LOTL), que aproveita o que já está no sistema em vez de introduzir arquivos binários de malware que seriam detectados em uma verificação.
Os scripts a seguir foram extraídos de provedores de nuvem populares, de modo que o tráfego de rede parece um acesso normal à AWS, à Tencent Cloud ou à Backblaze, em vez de um servidor suspeito que levantaria suspeitas.
Para desativar outros possíveis alertas, o malware continua tentando obter privilégios de administrador e, em seguida, altera as solicitações do UAC (Controle de Conta de Usuário) e as configurações do Registro, de modo a poder realizar alterações no nível do sistema de forma silenciosa e manter-se ativo mesmo após reinicializações.
No final da cadeia de infecção, um MSI (Microsoft Installer) não assinado instala um software de acesso remoto e outras cargas maliciosas, proporcionando ao invasor acesso contínuo e direto à máquina e aos dados.
Como se manter seguro
Para usuários domésticos e pequenas empresas, há algumas medidas práticas para se manterem seguros:
- Não abra anexos não solicitados antes de verificar com uma fonte confiável se eles são seguros.
- Ative a opção “Mostrar extensões de arquivo” no Explorer para que um arquivo que pareça ser uma imagem, mas termine em .vbs ou .msi, possa ser identificado como tal.
- Use uma solução antimalware atualizada e em tempo real para bloquear conexões indesejadas e identificar arquivos maliciosos.
- Download Baixe o software apenas do site oficial do fornecedor e verifique se os instaladores estão assinados.
- Não ignore os sinais de alerta. Solicitações inesperadas do UAC, novos programas que surgem do nada ou o computador ficando lento após abrir um anexo do WhatsApp são motivos para realizar uma verificação com um programa antimalware e, se necessário, esteja preparado para restaurar a partir de um backup limpo.
- Manter Windows e todas as outras aplicações atuais para evitar a exploração de vulnerabilidades conhecidas.
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
