Мошенники взламывают аккаунты WhatsApp* и рассылают поддельные финансовые документы, чтобы установить на компьютеры жертв легитимное, но опасное ПО для удалённого управления

Мошенники взламывают аккаунты WhatsApp* и рассылают поддельные финансовые документы, чтобы установить на компьютеры жертв легитимное, но опасное ПО для удалённого управления. Фото: СС0

Злоумышленники используют взломанные аккаунты реальных пользователей, что повышает доверие к отправляемым сообщениям.

Вредоносные файлы имеют расширение .vbs и маскируются под деловые документы, такие как выписки по счетам, уведомления о задолженности или платёжные поручения. Названия файлов локализованы на несколько языков, включая португальский, французский, немецкий и малайский, что подтверждает глобальный масштаб атаки.

Внутри скриптов также обнаружены комментарии на китайском языке, имитирующие компоненты обновлений Windows, однако для уверенной атрибуции данных недостаточно.

Как только жертва открывает прикреплённый VBS-файл (в настольной версии WhatsApp* он может запуститься напрямую через Windows Script Host), запускается многоступенчатая цепочка заражения.

Скрипт скачивает дополнительные компоненты с серверов злоумышленников, отключает контроль учётных записей (UAC) путём изменения реестра и устанавливает легитимную программу ManageEngine Endpoint Central, предназначенную для ИТ-администрирования. После установки ПО подключается к управляющим серверам мошенников, предоставляя им полный удалённый доступ к компьютеру жертвы.

Пользователям WhatsApp* настоятельно рекомендуется с осторожностью относиться к любым неожиданным вложениям, даже если они приходят от известных контактов, и никогда не открывать файлы с расширениями .vbs, .vbe, .exe, .bat, .cmd, .js или .ps1 без предварительной проверки.

*WhatsApp является продуктом компании Meta, признанной экстремистской и запрещенной в Российской Федерации.