Grote malwarecampagne actief op WhatsApp

Dit blijkt uit onderzoek van het Kaspersky Global Research and Analysis Team (GReAT). De sociale manipulatie steunt op bestandsnamen die lijken op alledaagse zakelijke documenten, zoals facturen, banksaldi, rekeningafschriften, betalingsbewijzen en schuldbekentenissen. De bestandsnamen zijn bovendien gelokaliseerd in meerdere talen, waaronder Engels, Portugees, Frans, Duits en Maleis. Dit wijst volgens de onderzoekers op een brede regionale gerichtheid, met name in Europa.

Werkwijze van de malware

Zodra een slachtoffer het schadelijke bestand opent, start een meertraps infectieproces. Het eerste script maakt een werkmap aan onder C:\Users\Public\Documents, haalt vervolgens extra scriptbestanden op van externe servers en voert deze uit via Windows Script Host. Deze opvolgende scripts voeren aanvullende acties uit op het systeem en downloaden een gecomprimeerd archief van dezelfde infrastructuur. Dit archief bevat een installatiepakket voor software voor externe monitoring en beheer.

Fareed Radzi, beveiligingsonderzoeker bij Kaspersky GReAT, licht toe: “Bij deze campagne misbruiken aanvallers het vertrouwen binnen berichtenplatforms door gecompromitteerde WhatsApp-accounts te gebruiken voor het versturen van schadelijke bijlagen die afkomstig lijken van bekende contacten. Hierdoor zijn ontvangers veel sneller geneigd om de bestanden te openen. De bestandsnamen zijn zorgvuldig vermomd als alledaagse zakelijke documenten, zoals facturen en betalingsherinneringen, en zijn gelokaliseerd in meerdere talen om een brede doelgroep aan te spreken. Zodra ze worden geopend, activeren ze een meertraps infectieproces dat stilletjes extra schadelijke componenten ophaalt en uitvoert vanaf externe infrastructuur.”

Kaspersky GReAT adviseert gebruikers om:

• voorzichtig te zijn met onverwachte bijlagen via WhatsApp, zelfs als deze afkomstig lijken van bekende contacten, omdat deze malware kunnen uitvoeren;
• geen script- en uitvoerbare bestandsformaten zoals .vbs, .vbe, .exe, .bat, .cmd, .js en .ps1 te openen, tenzij de legitimiteit onafhankelijk is geverifieerd;
• een sterke beveiligingsoplossing te gebruiken op alle computers en mobiele apparaten.

Meer informatie is hier te vinden.