Масштабная фишинговая атака в WhatsApp ставит под угрозу компьютеры пользователей

Эксперты компании «Лаборатория Касперского» зафиксировали новую волну мошенничества в мессенджере WhatsApp*, направленную на получение удаленного доступа к устройствам пользователей. Злоумышленники рассылают вредоносные файлы, замаскированные под деловую и финансовую документацию.

Механика атаки и распространение

Схема нападения базируется на использовании скомпрометированных аккаунтов. Взломщики получают доступ к учетной записи пользователя, после чего начинают рассылать вредоносные сценарии VBScript его контактам. Поскольку файлы приходят от знакомых людей, уровень доверия к ним значительно выше.

Исследователи отмечают высокую географическую активность киберпреступников. Жертвами стали пользователи из России, Бразилии, Индии, Мексики, Сингапура, Великобритании, Испании, Тайваня, Австралии, Вьетнама и Малайзии. Успех кампании во многом обусловлен локализацией названий файлов: они подбираются под язык конкретного региона, что помогает обмануть бдительность потенциальных жертв.

Последствия запуска вредоносного файла

При запуске полученного файла на компьютере под управлением Windows активируются скрытые скрипты, которые отключают встроенную систему контроля учетных записей (UAC). Затем на устройство устанавливается ManageEngine Endpoint Central — легальное программное обеспечение для удаленного администрирования корпоративных сетей. Однако в данном сценарии инструмент используется злоумышленниками для получения полного удаленного доступа к системе пострадавшего.

Специалисты подчеркивают следующие особенности угрозы:

• При использовании веб-версии WhatsApp* для запуска атаки пользователю необходимо предварительно скачать файл на устройство.
• В случае применения десктопного приложения файл может быть исполнен непосредственно через службу Windows Script Host.
• На текущий момент способ первоначального взлома учетных записей мессенджера остается неизвестным.

Эксперты призывают проявлять осторожность при получении даже рабочих документов от контактов, с которыми не велась активная переписка, и не запускать подозрительные файлы без предварительной проверки.

* — деятельность компании запрещена на территории РФ