Исследователи Microsoft обнаружили кампанию, которая использует вложения в WhatsApp для скрытого внедрения скрипта. Windows машины, которые позволят злоумышленнику получить удаленный контроль.
WhatsApp предлагает настольное приложение для Windows и macOS, которые пользователи могут синхронизировать со своими мобильными устройствами. Настольные версии WhatsApp обычно используются как расширения мобильных приложений, а не как основные платформы. Поэтому, несмотря на широкое распространение этих приложений, уровень их внедрения, вероятно, значительно ниже по сравнению с мобильными платформами.
В прошлом году мы писали о том, как компания Meta устранила уязвимость, позволявшую злоумышленнику выполнять произвольный код. Windows система, существовавшая во всех версиях WhatsApp до 2.2450.6.
Однако обнаруженные Microsoft атаки основаны исключительно на социальной инженерии . Пострадавший получает вложение в WhatsApp, которое выглядит достаточно безобидно, но на самом деле это файл .vbs (VisualScript). Basic файл скрипта, который Windows может выполнить.
Если злоумышленнику удастся убедить жертву запустить файл на Windows скрипт копирует встроенные Windows Инструменты помещаются в скрытую папку, и им присваиваются вводящие в заблуждение названия, чтобы на первый взгляд они выглядели безобидными.
Сами по себе эти инструменты являются легальными, но их используют не по назначению для загрузки вредоносного ПО. Это классическая техника «Living off the Land» (LOTL), при которой используются уже имеющиеся в системе ресурсы вместо внедрения бинарных файлов вредоносного ПО, которые могли бы быть обнаружены при сканировании.
Следующие скрипты загружаются с популярных облачных сервисов, поэтому сетевой трафик выглядит как обычный доступ к AWS, Tencent Cloud или Backblaze, а не к какому-то подозрительному серверу, который мог бы вызвать подозрения.
Чтобы отключить другие возможные сигналы тревоги, вредоносная программа постоянно пытается получить права администратора, а затем изменяет настройки запросов UAC (контроля учетных записей пользователей) и реестра, чтобы незаметно вносить изменения на системном уровне и сохраняться после перезагрузки.
В конце цепочки заражения неподписанный файл MSI (Microsoft Installer) устанавливает программное обеспечение для удаленного доступа и другие вредоносные компоненты, предоставляя злоумышленнику постоянный прямой доступ к компьютеру и данным.
Как оставаться в безопасности
Для домашних пользователей и малых предприятий существует ряд практических мер, позволяющих обеспечить безопасность:
- Не открывайте вложения, полученные без вашего запроса, пока не убедитесь в их безопасности, обратившись к надежному источнику.
- Включите в Проводнике параметр «Показывать расширения имен файлов», чтобы файлы, которые выглядят как изображения, но имеют расширение .vbs или .msi, можно было распознать как таковые.
- Используйте актуальное антивирусное решение, работающее в режиме реального времени, чтобы блокировать нежелательные подключения и выявлять вредоносные файлы.
- Download Устанавливайте программное обеспечение только с официального сайта поставщика и убедитесь, что установочные файлы имеют цифровую подпись.
- Не игнорируйте тревожные признаки. Неожиданные запросы UAC, внезапное появление нового ПО или замедление работы компьютера после открытия вложения в WhatsApp — все это поводы для проверки на наличие вредоносных программ и, при необходимости, для восстановления системы из чистой резервной копии.
- Держать Windows а также все другие существующие приложения, призванные предотвратить использование известных уязвимостей.
От сообщения об угрозах до их устранения.
Риски кибербезопасности никогда не должны выходить за рамки заголовков новостей. Защитите свои устройства от угроз, скачав Malwarebytes уже сегодня .
