Kaspersky informa que los ataques comienzan con mensajes enviados desde cuentas comprometidas que no contienen nada más que un archivo VBS fuertemente ofuscado.

Estos archivos reciben nombres que los hacen parecer informes financieros, estados de facturación, avisos de cuenta y documentos similares que probablemente atraigan la atención del objetivo y lo inciten a abrir el archivo.

Los nombres de los archivos también están localizados en múltiples idiomas, lo que confirma aún más el alcance global de la campaña.


"Basándonos en la evidencia recopilada de múltiples víctimas a través de informes en redes sociales y muestras enviadas, podemos concluir que el actor de la amenaza obtuvo acceso a varias cuentas de WhatsApp y las utilizó para distribuir los archivos VBScript maliciosos a los contactos en las listas de contactos de los usuarios comprometidos", explica Kaspersky [https://securelist.com/whatsapp-vbs-rmm-campaign/120290/].

"Al momento de escribir esto, el método exacto utilizado para comprometer estas cuentas de WhatsApp sigue siendo desconocido".

Si la víctima descarga y abre el archivo en Windows, el VBScript obtiene dos scripts adicionales de la infraestructura del atacante, los cuales, a su vez, desactivan las protecciones UAC mediante modificaciones del Registro y descargan un archivo ZIP que contiene el programa ManageEngine Endpoint Central.

El software se instala silenciosamente en segundo plano y se configura para conectarse a servidores de gestión controlados por el atacante, otorgándoles acceso de administración remota en la computadora de la víctima.

Kaspersky señala que cuando el archivo VBScript inicial se entrega a través de WhatsApp Web, debe descargarse, pero cuando se abre en el cliente de WhatsApp para escritorio, puede ejecutarse directamente a través de Windows Script Host (wscript.exe).



Aunque Kaspersky no atribuye los ataques a un actor de amenazas específico, los investigadores encontraron indicios del uso del idioma chino y coincidencia de infraestructura con IPs asociadas previamente con la actividad de ValleyRAT y Gh0st RAT.

Sin embargo, no hay evidencia suficiente para que sea posible una atribución de alta confianza.

Se aconseja a los usuarios de WhatsApp que traten los archivos enviados por contactos, incluso los de confianza, con precaución y que siempre los verifiquen a través de medios secundarios.

Todos los archivos descargados deben ser analizados con un antivirus actualizado antes de ejecutarlos.

Fuente:
BleepingComputer