Uma nova vaga de ataques informáticos está a visar os utilizadores do WhatsApp em vários países através do envio de mensagens falsas que escondem ficheiros VBScript maliciosos. De acordo com um relatório detalhado publicado pela Kaspersky, esta campanha tem como objetivo final obter o controlo remoto total dos computadores das vítimas.
Os atacantes utilizam contas previamente comprometidas para enviar os ficheiros aos contactos da lista da vítima, fazendo-se passar por documentos legítimos de contabilidade, avisos de faturação ou relatórios financeiros para despertar a curiosidade e levar à abertura do documento.
Como funciona a cadeia de ataque
Quando o utilizador descarrega e executa o ficheiro VBScript no Windows, o script descarrega elementos adicionais a partir da infraestrutura do atacante. Estes componentes secundários desativam as defesas do Controlo de Conta de Utilizador através de modificações no Registo do sistema e descarregam um arquivo compactado contendo o software ManageEngine Endpoint Central.
Embora esta aplicação seja uma ferramenta legítima utilizada por administradores de sistemas informáticos, neste caso é configurada de forma silenciosa para ligar a computadores controlados pelos piratas informáticos, garantindo-lhes acesso total e remoto à máquina infetada. A execução do malware torna-se ainda mais direta se o utilizador abrir o ficheiro através da aplicação oficial para computador, tirando partido do Windows Script Host.
Países afetados e mitigação
Os dados de telemetria revelam que a ameaça tem um alcance global, afetando utilizadores em países como o Brasil, Índia, México, Reino Unido, Espanha, Singapura e Vietname. Apesar de existirem indícios de utilização do idioma chinês no código e de infraestruturas partilhadas com outras ameaças conhecidas, como o ValleyRAT ou Gh0st RAT, a atribuição a um grupo específico ainda não é totalmente segura.
Para evitar a infeção, os especialistas recomendam desconfiar de ficheiros partilhados mesmo por contactos conhecidos e validar sempre a sua legitimidade por canais alternativos. Adicionalmente, todos os dados descarregados devem ser analisados por um antivírus atualizado antes de qualquer execução.
Nenhum comentário
Seja o primeiro!