Kampanye malware yang sedang berlangsung menargetkan pengguna WhatsApp di banyak negara dengan pesan menipu yang mengirimkan file VBScript, yang mengarah ke akses sistem jarak jauh.
Pelaku ancaman menggunakan nama file yang menunjukkan dokumen bisnis dan keuangan yang dikirimkan oleh kontak korban, yang akunnya telah disusupi.
Dengan mengunduh dan mengeksekusi lampiran berbahaya, penerima memulai rantai infeksi yang mengarah pada pemasangan ManageEngine Endpoint Central yang sah, yang digunakan oleh administrator TI untuk mengelola sistem dari dasbor terpusat.
Data telemetri dari perusahaan keamanan siber Kaspersky menunjukkan bahwa kampanye tersebut tersebar di Brasil, India, Meksiko, Singapura, Inggris, Spanyol, Taiwan, Australia, Rusia, Vietnam, dan Malaysia.
Rantai serangan
Kaspersky melaporkan bahwa serangan dimulai dengan pesan yang dikirim dari akun yang disusupi yang hanya berisi file VBS yang sangat dikaburkan.
File-file ini diberi nama yang membuatnya tampak seperti laporan keuangan, laporan tagihan, pemberitahuan rekening, dan dokumen serupa yang mungkin menarik perhatian target dan mendorong mereka untuk membuka file tersebut.
Nama file juga dilokalkan dalam berbagai bahasa, yang semakin menegaskan jangkauan global kampanye tersebut.
Sumber: Kaspersky
“Berdasarkan bukti yang dikumpulkan dari beberapa korban melalui laporan media sosial dan sampel yang dikirimkan, kami dapat menyimpulkan bahwa pelaku ancaman telah memperoleh akses ke beberapa akun WhatsApp dan menggunakannya untuk mendistribusikan file VBScript berbahaya ke kontak di daftar kontak pengguna yang disusupi,” Kaspersky menjelaskan.
“Pada saat artikel ini ditulis, metode pasti yang digunakan untuk menyusupi akun WhatsApp ini masih belum diketahui.”
Jika korban mengunduh dan membuka file di Windows, VBScript mengambil dua skrip tambahan dari infrastruktur penyerang, yang kemudian menonaktifkan perlindungan UAC melalui modifikasi Registry dan mengunduh arsip ZIP yang berisi program ManageEngine Endpoint Central.
Sumber: Kaspersky
Perangkat lunak ini diinstal secara diam-diam di latar belakang dan dikonfigurasi untuk terhubung ke server manajemen yang dikendalikan penyerang, memberi mereka akses administrasi jarak jauh di komputer korban.
Kaspersky mencatat bahwa ketika file VBScript awal dikirimkan melalui WhatsApp Web, maka harus diunduh, namun ketika dibuka di klien WhatsApp Desktop, file tersebut dapat dijalankan langsung melalui Windows Script Host (wscript.exe).
Sumber: Kaspersky
Meskipun Kaspersky tidak mengaitkan serangan tersebut dengan pelaku ancaman tertentu, para peneliti menemukan tanda-tanda penggunaan bahasa Tiongkok dan infrastruktur yang tumpang tindih dengan IP yang sebelumnya dikaitkan dengan aktivitas ValleyRAT dan Gh0st RAT.
Namun, tidak ada cukup bukti yang memungkinkan atribusi berkeyakinan tinggi.
Pengguna WhatsApp disarankan untuk memperlakukan file yang dikirim oleh kontak, bahkan yang tepercaya, dengan hati-hati dan selalu memverifikasinya melalui cara sekunder.
Semua file yang diunduh harus dipindai dengan antivirus terbaru sebelum menjalankannya.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
