Una nuova campagna di truffe su WhatsApp sfrutta falsi documenti aziendali per installare software di controllo remoto sui PC

Una nuova campagna di attacchi informatici sta prendendo di mira gli utenti di WhatsApp attraverso messaggi fraudolenti che sembrano provenire da contatti fidati. Secondo le analisi pubblicate da Kaspersky, gli aggressori sfruttano account precedentemente compromessi per distribuire allegati dannosi camuffati da documenti di lavoro, fatture, rendiconti finanziari o comunicazioni amministrative.

L'attività malevola è stata osservata in diversi Paesi del mondo, tra cui Brasile, India, Messico, Singapore, Regno Unito, Spagna, Taiwan, Australia, Russia, Vietnam e Malesia. I nomi dei file vengono adattati alle lingue locali, un dettaglio che conferma la natura internazionale dell'operazione. L'attacco inizia con l'invio di un file VBScript fortemente offuscato. Quando la vittima scarica ed esegue l'allegato su un computer Windows, lo script avvia una serie di operazioni automatiche che contattano l'infrastruttura degli aggressori per recuperare ulteriori componenti.

Successivamente vengono apportate modifiche al sistema per ridurre alcune protezioni di sicurezza e viene scaricato un archivio contenente una copia di ManageEngine Endpoint Central. Si tratta di un software normalmente utilizzato dagli amministratori IT per gestire dispositivi e reti aziendali. In questo caso, però, il programma viene configurato per collegarsi a server controllati dagli attaccanti, consentendo loro l'accesso remoto al computer compromesso.

Ulteriori dettagli su questa serie di truffe che avvengono su WhatsApp

Gli esperti evidenziano una differenza importante tra le piattaforme WhatsApp. Attraverso WhatsApp Web il file deve essere scaricato manualmente prima dell'esecuzione, mentre nella versione desktop il sistema può aprire direttamente lo script tramite Windows Script Host.

Gli analisti non attribuiscono con certezza la campagna a un gruppo specifico. Alcuni elementi suggeriscono collegamenti con infrastrutture già associate a malware come ValleyRAT e Gh0st RAT e sono emersi indizi relativi all'utilizzo della lingua cinese, ma le prove raccolte non permettono conclusioni definitive.

Per ridurre i rischi, gli utenti dovrebbero diffidare degli allegati ricevuti anche da contatti conosciuti, verificare sempre la legittimità dei file tramite canali alternativi e sottoporre ogni download a una scansione antivirus aggiornata prima di eseguirlo.