Faites attention à ce sur quoi vous cliquez. Les malfaiteurs abusent des messages WhatsApp dans le cadre d’une attaque en plusieurs étapes qui délivre des packages Microsoft Installer (MSI) malveillants, permettant aux criminels de contrôler les machines des victimes et d’accéder à toutes leurs données.
La campagne a débuté fin février, nous dit-on, et la chaîne d’attaque commence par un message WhatsApp contenant des fichiers Visual Basic Script (VBS) malveillants. Nous ne savons pas exactement comment fonctionne la partie ingénierie sociale de l’arnaque – nous avons demandé à Redmond des détails supplémentaires et mettrons à jour cette histoire si nous en recevons.
Mais d’une manière ou d’une autre, l’attaquant incite le destinataire du message à exécuter le fichier malveillant sur son système. Ils le font probablement en utilisant une session WhatsApp compromise, de sorte que le message semble provenir de l’un des contacts existants de la victime. Ou encore, ils lancent aux utilisateurs un leurre qui contient un sentiment d’urgence, incitant le destinataire à ouvrir le fichier en toute hâte.
AD ENREGISTREMENT
Une fois exécuté, le script malveillant crée des dossiers cachés dans C:ProgramData et supprime les versions renommées des utilitaires Windows légitimes – par exemple, curl.exe renommé netapi.dll et bitsadmin.exe en sc.exe.
AD ENREGISTREMENT
L’utilisation d’outils Windows légitimes à des fins malveillantes permet aux attaquants de se fondre dans l’activité normale du réseau – les défenseurs appellent cela « vivre de la terre » – mais les mécréants ont commis une erreur en renommant ces fichiers binaires.
« En particulier, ces fichiers binaires renommés conservent leurs métadonnées PE (Portable Executable) d’origine, y compris le champ OriginalFileName qui les identifie toujours comme curl.exe et bitsadmin.exe », ont écrit les chercheurs de Microsoft dans un blog publié mardi. « Cela signifie que Microsoft Defender et d’autres solutions de sécurité peuvent exploiter cette divergence de métadonnées comme signal de détection, signalant les cas où le nom d’un fichier ne correspond pas à son OriginalFileName intégré. »
Les criminels utilisent les binaires renommés pour télécharger des charges utiles VBS secondaires (auxs.vbs, 2009.vbs) à partir de services cloud de confiance, notamment AWS, Tencent Cloud et Backblaze B2. Encore une fois, cela rend plus difficile la distinction entre l’activité normale de l’entreprise et les téléchargements malveillants.
Ensuite, le logiciel malveillant modifie les paramètres de contrôle de compte d’utilisateur (UAC), en essayant de lancer cmd.exe avec des privilèges élevés jusqu’à ce qu’il réussisse, ce qui signifie que le logiciel malveillant survivra à un redémarrage du système ou que le processus sera interrompu de force.
Enfin, les attaquants déploient des installateurs MSI malveillants, et Microsoft affirme que ceux-ci incluent Setup.msi, WinRAR.msi, LinkPoint.msi et AnyDesk.msi. Une fois de plus, les méchants utilisent de vrais outils comme AnyDesk – et non des logiciels malveillants personnalisés – pour se cacher à la vue de tous.
Cependant, aucune des charges utiles finales n’est signée, ce qui devrait être une autre indication pour les défenseurs qu’ils ont affaire à des logiciels malveillants et non à des logiciels d’entreprise légitimes.
Ces installateurs donnent aux attaquants un accès à distance aux systèmes des victimes afin qu’ils puissent voler des données, déployer davantage de logiciels malveillants, tels que des ransomwares, sur des systèmes compromis, ou utiliser les machines infectées dans le cadre d’un réseau plus vaste à partir duquel lancer d’autres attaques.
Bien que le blog de Microsoft contienne plusieurs recommandations incitant les utilisateurs à utiliser leurs produits de sécurité pour éviter ce type de compromission, un conseil indépendant du fournisseur que nous apprécions particulièrement consiste à informer les utilisateurs sur la façon de repérer les campagnes d’ingénierie sociale.
AD ENREGISTREMENT
« Formez les employés à reconnaître les pièces jointes WhatsApp suspectes et les messages inattendus, en renforçant le fait que même les plates-formes familières peuvent être exploitées pour la diffusion de logiciels malveillants », conseille Redmond.
Un porte-parole de WhatsApp a refusé de répondre Le registre questions spécifiques sur cette campagne. Ils ont rappelé aux utilisateurs de tout service de messagerie de cliquer uniquement sur des liens ou d’ouvrir des fichiers provenant de personnes qu’ils connaissent et en qui ils ont confiance, et ont encouragé les utilisateurs à bloquer et à signaler tout message suspect.
De plus, pour les utilisateurs présentant un risque plus élevé d’attaques ciblées, l’application de messagerie a déployé des paramètres de compte stricts. Il s’agit d’une fonctionnalité de type verrouillage que les utilisateurs peuvent activer en accédant à Paramètres > Confidentialité > Avancé. Il coupe automatiquement les appels inconnus, bloque les pièces jointes d’utilisateurs inconnus et empêche les aperçus de liens. ®
Mis à jour le 1er avril pour inclure la réponse de WhatsApp.
