WhatsApp comme vecteur d'attaque un VBScript trompeur installe un RMM et prend le contrôle du réseau

Une campagne active profite des messages directs de WhatsApp pour distribuer des fichiers malveillants au format VBScript qui finissent par installer un logiciel légitime de surveillance à distance (RMM), transformant un outil de gestion en une porte arrière pour les attaquants. Les enquêteurs de sécurité ont documenté que l'opération affecte principalement les utilisateurs de WhatsApp Desktop et WhatsApp Web en Asie, en Europe, en Amérique latine et en Océanie, avec une forte concentration de victimes en Malaisie.

Le vecteur initial est simple et efficace du point de vue de l'attaquant : les fichiers avec des noms qui imitent des documents commerciaux tels que « Financial Reports.vbs » ou « Account Statement.vbs », parfois situés dans d'autres langues, sont envoyés à partir de comptes qui semblent appartenir à des contacts connus. La rupture clé n'est pas une charge utile exotique, mais la combinaison de ingénierie sociale, fichiers VBS exécutables et confiance implicite dans les messages de contact.

Les scripts sont fortement obfussés et contiennent des commentaires conçus pour ressembler à des composants légitimes de Windows Update, rendant la détection manuelle difficile. Lors de l'exécution via WScript.exe le VBScript télécharger des étapes supplémentaires: on essaie de manipuler le comportement du contrôle de compte utilisateur (UAC) et un autre récupère un ZIP contenant l'installateur ManageEngine RMM Central. Le résultat n'est pas seulement un malware classique, mais l'implémentation d'un outil de gestion légitime qui fournit un accès à distance persistant.

L'attaque se comporte différemment selon la plateforme: dans WhatsApp Web le succès dépend du téléchargement et l'ouverture du fichier à partir du dossier de téléchargement ou de l'historique du navigateur, tandis que dans WhatsApp Desktop il a été observé exécution directe du processus d'application lui-même (avec "WhatsApp.Rot.exe" genando "WScript.exe"), ce qui soulève des problèmes de violation du modèle de confiance entre l'application client et le système d'exploitation.

Au-delà de l'impact immédiat sur l'équipement compromis, l'installation non autorisée d'un MMR légitime augmente considérablement le risque : ces produits permettent la télécommande, l'installation de logiciels supplémentaires et l'accès aux références et aux systèmes internes. Dans les mains d'un acteur malveillant, ils peuvent faciliter le mouvement latéral, le vol de données et la persistance difficile à éliminer, parce que les défenses traditionnelles ont tendance à compter sur des binaires signés et des logiciels de gestion d'entreprise.

Pour les utilisateurs et administrateurs, les mesures préventives sont claires et devraient être mises en œuvre immédiatement: n'ouvrez pas les fichiers avec des extensions de script (.vbs, .vbe, .js, .ps1, .bat, .cmd) reçus par messagerie instantanée sans vérifier leur origine; examinez et fermez les sessions WhatsApp Web / Desktop inconnues de la section "Appareils associés"; activez la vérification en deux étapes dans WhatsApp; et tenez le client à jour. Dans les environnements d'entreprise, il est approprié de bloquer l'exécution de WScript. exe par les politiques de contrôle d'application (AppLocker, WDAC), configurer le navigateur pour éviter l'exécution directe de téléchargements, et appliquer des règles dans l'EDR pour alerter lors des processus de messagerie lancer des scripts interprètes.

Si vous soupçonnez que vous avez téléchargé ou exécuté un fichier suspect, déconnectez l'ordinateur du réseau et effectuez une analyse médico-légale ou consultez l'équipe d'intervention. Les indicateurs techniques publiés par les chercheurs (y compris d'éventuels chevauchements d'infrastructures avec des campagnes antérieures) peuvent aider à la détection, mais l'absence d'attribution définitive implique que la réponse devrait être axée sur le confinement et la médiation dans l'environnement touché.

Pour approfondir la nature des menaces et des recommandations générales concernant les logiciels malveillants et les campagnes similaires, voir le blog de recherche de Kaspersky sur https: / / www.kaspersky.com / blog /. Si vous souhaitez examiner les spécifications et les risques associés à la solution RMM indiqués dans certains rapports, la page du fournisseur de ManageEngine fournit des informations sur le produit https: / / www.manageengine.com / refote-monitoring-management /. En outre, WhatsApp maintient des conseils de sécurité sur la façon de protéger votre compte dans https: / / www.Whatsapp.com / sécurité.

L'épisode est un rappel que la chaîne d'attaque ne commence pas toujours par des logiciels malveillants « exotiques » : les outils administratifs et les vecteurs quotidiens, comme un fichier VBS envoyé par un contact, peuvent suffire à compromettre une organisation. La meilleure défense combine le scepticisme chez les utilisateurs, les politiques techniques qui limitent l'exécution des scripts et la visibilité dans les paramètres pour détecter les comportements anormaux.