WhatsApp como vetor de ataque um VBScript enganoso instala um RMM e toma o controle da rede

Uma campanha ativa está aproveitando as mensagens diretas do WhatsApp para distribuir arquivos maliciosos em formato VBScript que acabam instalando software legítimo de monitoramento remoto (RMM), o que transforma uma ferramenta de gerenciamento em uma porta traseira para atacantes. Pesquisadores de segurança documentaram que a operação afeta principalmente usuários de WhatsApp Desktop e WhatsApp Web em países da Ásia, Europa, América Latina e Oceania, com uma concentração notável de vítimas na Malásia.

O vetor inicial é simples e efetivo do ponto de vista do atacante: arquivos com nomes que imitam documentos empresariais como "Financial Reports.vbs" ou "Account Statement.vbs", algumas vezes localizados a outros idiomas, são enviados de contas que parecem pertencer a contatos conhecidos. A ruptura chave não é um payload exótico, mas sim a combinação de Engenharia social, arquivos VBS executáveis e confiança implícita em mensagens de contatos.

Os scripts são fortemente ofuscados e contêm comentários projetados para parecer componentes legítimos do Windows Update, o que dificulta a detecção manual. Ao executar a via WScript.exe, o VBScript transfere etapas adicionais: um tenta manipular o comportamento do Controle de Contas de Utilizador (UAC) e outro recupera um ZIP que contém o instalador de ManageEngine RMM Central. O resultado não é apenas malware clássico, mas a implantação de uma ferramenta legítima de administração que concede acesso remoto persistente.

O ataque comporta-se de forma diferente de acordo com a plataforma: no WhatsApp Web o sucesso depende de que a vítima baixe e abra o arquivo da pasta de downloads ou o histórico do navegador, enquanto no WhatsApp Desktop foi observado a execução direta do próprio processo de aplicação (com “WhatsApp.Root.exe” spawnando “WScript.exe”), o que coloca problemas de violação do modelo de confiança entre a aplicação cliente e o sistema operacional.

Para além do impacto imediato na equipe comprometida, a instalação não autorizada de um RMM legítimo eleva consideravelmente o risco: esses produtos permitem controle remoto, instalação de software adicional e acesso a credenciais e sistemas internos. Nas mãos de um ator malicioso podem facilitar movimento lateral, roubo de dados e persistência difícil de eliminar, porque as defesas tradicionais tendem a confiar em binários assinados e em software de gestão empresarial.

Para usuários e administradores, As medidas preventivas são claras e devem ser aplicadas imediatamente: não abrir arquivos com extensões de script (.vbs, .vbe, .js, .ps1, .bat, .cmd) recebidos por mensagens instantâneas sem verificar sua origem; revisar e fechar sessões do WhatsApp Web/Escritório desconhecidas a partir da seção "Dispositivos vinculados"; ativar a verificação em dois passos no WhatsApp; e manter o cliente atualizado. Em ambientes empresariais, é conveniente bloquear a execução do WScript.exe através de políticas de controlo de aplicativos (AppLocker, WDAC), configurar o navegador para evitar a execução direta de downloads e aplicar regras no EDR para alertar quando processos de mensagens lancem intérpretes de scripts.

Se suspeitar que tenha baixado ou executado um arquivo suspeito, desconecte a máquina da rede e execute análises forenses ou consulte o equipamento de resposta a incidentes. Os indicadores técnicos publicados por investigadores (incluindo possíveis sobreposições de infra-estruturas com campanhas prévias) podem ajudar na detecção, mas a ausência de atribuição definitiva implica que a resposta deve concentrar-se em contenção e remediação no ambiente em causa.

Para aprofundar a natureza das ameaças e recomendações gerais sobre malware e campanhas semelhantes, consultar o blog de pesquisa da Kaspersky em https://www.kaspersky.com/blog/. Se você quiser rever as especificações e riscos associados à solução RMM assinalada em alguns relatórios, a página do fornecedor ManageEngine fornece informações do produto em https://www.manageengine.com/remote-monitoring-management/. Além disso, o WhatsApp mantém conselhos de segurança sobre como proteger sua conta em https://www.whatsapp.com/security.

O episódio é um lembrete de que a cadeia de ataque nem sempre começa com malware “exótico”: ferramentas administrativas e vetores cotidianos, como um arquivo VBS enviado por um contato, podem ser suficientes para comprometer uma organização. A melhor defesa combina ceticismo nos usuários, políticas técnicas que limitem a execução de scripts e visibilidade nos endpoints para detectar comportamentos anormais.