Se ha detectado una campaña global que distribuye archivos VBScript maliciosos a través de WhatsApp Desktop y Web, disfrazados de documentos financieros. Al ejecutarlos, se instala software de gestión remota (RMM) que permite a los atacantes controlar el sistema de la víctima. Kaspersky recomienda no abrir archivos ejecutables o scripts provenientes de contactos, incluso si son conocidos.

Los mensajes directos enviados a través de WhatsApp están siendo utilizados para distribuir archivos maliciosos de Visual Basic Script (VBScript) que conducen a la instalación de software legítimo de Monitoreo y Gestión Remota (RMM).

Según los hallazgos de Kaspersky, la campaña activa está dirigida a usuarios de WhatsApp Desktop y WhatsApp Web en Malasia, Brasil, India, México, Singapur, Reino Unido, España, Taiwán, Australia, Rusia y Vietnam. La mayor concentración de víctimas se ha reportado en Malasia.

"El actor de la amenaza utiliza nombres de archivos engañosos que se hacen pasar por documentos comerciales y financieros para persuadir a los destinatarios a descargar y ejecutar el archivo adjunto", afirmó el investigador de seguridad Fareed Radzi aquí. "Una vez ejecutado, el VBScript inicia una cadena de infección de varias etapas que finalmente resulta en la instalación de software legítimo de Monitoreo y Gestión Remota (RMM), permitiendo el acceso remoto al sistema de la víctima".

Se sospecha que el actor de la amenaza detrás de la operación logró obtener acceso furtivo a varias cuentas de WhatsApp y luego las utilizó como vector de distribución de los archivos VBScript entre sus contactos. Dicho esto, no está claro exactamente cómo se comprometieron estas cuentas.

Los archivos VBScript, fuertemente ofuscados, se presentan como documentos comerciales y financieros aparentemente inofensivos, utilizando nombres como "Financial Reports.vbs" o "Account Statement.vbs". Algunos de los archivos también están nombrados en otros idiomas, como portugués, francés, alemán y malayo, reflejando la naturaleza global de la campaña.

"Además, las muestras de VBScript contienen extensos comentarios y metadatos destinados a imitar componentes legítimos de Microsoft Windows Update", explicó Kaspersky. "Muchos de estos comentarios están escritos en chino e incluyen referencias a módulos de Windows Update, validación de certificados, comprobaciones de integridad del sistema y funcionalidad relacionada con el despliegue".

El archivo VBScript se lanza utilizando "WScript.exe", que luego busca y ejecuta componentes VBScript adicionales necesarios para las siguientes etapas del ataque. Cabe destacar que la cadena de infección se comporta de manera ligeramente diferente dependiendo de si usas WhatsApp Web o la aplicación de WhatsApp Desktop.


En el caso del primero, el ataque depende de que descargues el archivo en tu sistema y luego lo abras desde la carpeta de descargas o a través del historial de descargas del navegador, suponiendo que se trata de un documento legítimo. En WhatsApp Desktop, el malware se ejecuta directamente dentro de la aplicación, y el árbol de procesos revela que "WhatsApp.Root.exe", el proceso en segundo plano asociado con la aplicación cliente, es responsable de generar "WScript.exe".

El objetivo principal del VBScript es descargar dos cargas útiles de VBScript secundarias desde un servidor remoto; una de ellas intenta manipular el comportamiento del Control de Cuentas de Usuario (UAC) de Windows, mientras que la otra descarga y ejecuta un archivo ZIP que contiene el paquete de instalación de ManageEngine RMM Central.

La actividad sigue sin ser atribuida; sin embargo, la empresa de ciberseguridad rusa dijo que encontró coincidencias en la infraestructura ("202.61.160[.]201") con actividades previas vinculadas a Gh0st RAT y ValleyRAT.

"Deberías tener cuidado al recibir archivos adjuntos inesperados a través de WhatsApp, incluso cuando parezcan provenir de contactos conocidos", dijo Kaspersky. "Los tipos de archivos de script y ejecutables como VBS, VBE, EXE, BAT, CMD, JS y PS1 no deben abrirse a menos que su legitimidad haya sido verificada de forma independiente".

Fuente:
THN