I ricercatori nel campo della sicurezza hanno recentemente scoperto una campagna che diffonde file VBS (Visual Basic Script) tramite WhatsApp Desktop e WhatsApp Web. Questi file sono spesso camuffati da normali documenti aziendali, con nomi come "Financial Reports.vbs" o "Account Statement.vbs", pensati per indurre i destinatari a scaricare e aprire l'allegato. La campagna ha già colpito vittime in diversi paesi in tutto il mondo.
Come è stato sferrato l'attacco malware basato sul download
Gli autori dell'attacco hanno ottenuto l'accesso non autorizzato ad alcuni account WhatsApp e li hanno utilizzati per inviare file camuffati ai contatti degli account stessi, sfruttando la fiducia che suscita un messaggio proveniente da un mittente conosciuto. Una volta aperto, lo script viene eseguito tramite "WScript.exe" e recupera ulteriori payload da un server remoto. Uno di questi indebolisce il comportamento dell’UAC (Controllo account utente di Windows), mentre l’altro scarica e installa ManageEngine RMM (Remote Monitoring and Management) Central, uno strumento legittimo di amministrazione IT che garantisce all’autore dell’attacco un accesso remoto persistente al dispositivo.
Il comportamento varia a seconda della piattaforma. Su WhatsApp Web, il file deve essere aperto manualmente dalla cartella dei download. Su WhatsApp Desktop, è stato osservato che il processo in background del client stesso, "WhatsApp.Root.exe", avvia direttamente "WScript.exe".
Perché è importante scaricare software di sicurezza
Questa campagna non riguarda specificatamente uno script o uno strumento RMM. Essa mette in luce un punto di accesso spesso trascurato attraverso il quale i sistemi aziendali possono essere esposti a rischi. I dipendenti scaricano costantemente file da fornitori, clienti, colleghi e da app di messaggistica che non sono mai state progettate tenendo conto della sicurezza aziendale. Ogni singolo download rappresenta un punto decisionale.
Una volta aperto, qualunque cosa contenga, il file viene eseguito con i permessi di sistema dell’utente. Le difese tradizionali non sono state progettate tenendo conto di questo modello. La sicurezza di rete presuppone che il traffico attraversi un perimetro che può essere ispezionato. Gli strumenti antivirus si basano in gran parte sulla conoscenza preventiva delle caratteristiche del software dannoso. Nessuno dei due presupposti regge di fronte a un file che proviene da un contatto fidato, si presenta come un documento comune e installa un software non dannoso.
Considerazioni per i responsabili della sicurezza e dell'IT
La questione principale in questo caso non riguarda specificamente WhatsApp. Si tratta di un avvertimento relativo a qualsiasi canale che un'organizzazione non abbia preso in considerazione come fonte di download di file. Le app di messaggistica istantanea, i link ai servizi di archiviazione cloud, gli strumenti di collaborazione e le e-mail personali a cui si accede dai dispositivi di lavoro rappresentano la stessa minaccia.
Ogni file merita lo stesso livello di controllo al momento del download e al momento dell’ingresso nella rete. Aspettare che un file si comporti in modo anomalo dopo che è già in esecuzione, o sperare che un dipendente riconosca uno script camuffato prima di fare doppio clic su di esso, significa affidarsi al caso. Controllare ciò che è consentito eseguire e valutare ogni file non appena arriva su un dispositivo elimina questo rischio.
In che modo MetaDefender Endpoint garantisce la sicurezza dei download dei file
Questo è proprio il tipo di vulnerabilità che “Download Protection”, una funzionalità di OPSWAT MetaDefender Endpoint , è stata progettata per affrontare. “Download Protection” ispeziona i file nel momento in cui vengono scaricati su un endpoint gestito, prima che siano disponibili per l’apertura. MetaDefender Endpoint esegue la scansione di ogni file tramite la tecnologia Metascan™ Multiscanning con oltre 30 motori anti-malware, tra cui OPSWAT Predictive Alin AI. Inoltre, i file vengono ripuliti grazie alla tecnologia Deep CDR™, che disinnesca in modo proattivo le minacce basate sui file e rigenera file puliti e utilizzabili in pochi millisecondi, neutralizzando script incorporati, macro e malware sconosciuto in oltre 200 tipi di file.
MetaDefender Endpoint può aiutare le organizzazioni a proteggere i propri sistemi critici da tali campagne di download nei seguenti modi:
- Un file VBS camuffato che arriva tramite WhatsApp Web viene analizzato durante il download, prima che l'utente abbia modo di fare doppio clic su di esso.
- Anche i download automatici effettuati senza il consenso dell'utente vengono sottoposti a una scansione attiva e approfondita tramite MetaDefender Endpoint , garantendo che siano accessibili solo file sicuri e privi di malware.
- Un file bloccato viene eliminato automaticamente, anziché rimanere disponibile per un secondo tentativo non supervisionato.
- Poiché il programma di installazione di RMM è di per sé un software legittimo, la funzione di controllo delle applicazioni disponibile all’indirizzo MetaDefender Endpoint consente agli amministratori di gestire le applicazioni in esecuzione sui dispositivi gestiti e di bloccare quelle indesiderate.
Come impedire future campagne di download dannose
Campagne di questo tipo spesso passano inosservate perché prendono di mira i download piuttosto che la rete, utilizzando file dall’aspetto legittimo e mittenti affidabili. Eseguendo la scansione dei download con MetaDefender Endpoint , le organizzazioni possono bloccare attacchi come questo prima che qualsiasi script venga eseguito. Ciò non impedisce ai dipendenti di utilizzare gli strumenti su cui fanno affidamento, comprese le app di messaggistica, senza che tale comodità diventi il prossimo punto di accesso all’organizzazione. La sicurezza non dipende più dal fatto che ogni utente prenda la decisione giusta riguardo a ogni file, ogni volta.
Per scoprire come Download Protection gestisce le campagne di download dannose, rivolgiti oggi stesso a un esperto.
