WhatsApp malwarekampagne bruger VBS og MSI-bagdøre

Introduktion

Microsoft har offentliggjort detaljer om en sofistikeret malwarekampagne, der starter med VBS-filer leveret via WhatsApp og ender med vedvarende fjernadgang gennem ondsindede MSI-installationspakker. For IT- og sikkerhedsteams er dette vigtigt, fordi angriberne misbruger legitime Windows-værktøjer og betroede cloudplatforme, hvilket gør aktiviteten sværere at skelne fra normal virksomhedstrafik.

Hvad er nyt i denne kampagne

Microsoft Defender Experts observerede kampagnen begynde i slutningen af februar 2026. Angrebskæden omfatter flere faser, der er designet til at undgå registrering og opretholde langvarig adgang:

• Indledende adgang via WhatsApp: Angribere sender ondsindede .vbs-filer via WhatsApp-beskeder og udnytter brugernes tillid til velkendte kommunikationsapps.
• Brug af omdøbte Windows-værktøjer: Scripts kopierer legitime hjælpeprogrammer som curl.exe og bitsadmin.exe og omdøber dem derefter til vildledende filnavne som netapi.dll og sc.exe.
• Payload-levering fra betroede cloudtjenester: Sekundære payloads downloades fra tjenester som AWS S3, Tencent Cloud og Backblaze B2.
• Privilegieeskalering og persistens: Malware manipulerer med UAC-relaterede registreringsdatabaseindstillinger og forsøger gentagne gange at køre kommandoer med forhøjede rettigheder.
• MSI-bagdøre i sidste fase: Usignerede MSI-filer som Setup.msi, WinRAR.msi, LinkPoint.msi og AnyDesk.msi bruges til at etablere fjernadgang.

Hvorfor dette er vigtigt

Denne kampagne kombinerer flere tendenser, som forsvarsteams ser oftere:

• Living-off-the-land-teknikker med native Windows-binærfiler
• Cloud-hosted malwarelevering, der glider ind i legitim trafik
• Social engineering via forbrugerorienterede beskedplatforme
• Persistens gennem MSI-installationspakker, som kan se rutinemæssige ud i administrerede miljøer

En bemærkelsesværdig mulighed for registrering er uoverensstemmelsen mellem en fils faktiske navn og dens indlejrede OriginalFileName PE-metadata. Sikkerhedsværktøjer, der inspicerer disse metadata, kan muligvis markere omdøbte binærfiler mere effektivt.

Konsekvenser for IT-administratorer

Sikkerheds- og endpoint-teams bør gå ud fra, at blokering alene efter filtype ikke er nok. Kampagnen kan omgå overfladisk kontrol ved at bruge skjulte mapper, betroede downloadkilder og legitimt administrationsværktøj.

Organisationer, der bruger Microsoft Defender, bør være særligt opmærksomme på:

• Script host-aktivitet fra ikke-betroede stier (wscript, cscript, mshta)
• Registreringsdatabaseændringer knyttet til UAC-adfærd
• Kørsel af usignerede MSI-filer
• Netværksforbindelser til cloud object storage brugt til staging af payloads
• Endpoint-detektioner knyttet til omdøbte binærfiler og mistænkelige kommandolinjeflag

Anbefalede næste skridt

• Begræns scriptkørsel i ikke-betroede placeringer, hvor det er muligt.
• Aktivér cloud-delivered protection i Microsoft Defender Antivirus.
• Kør Defender for Endpoint EDR i block mode for at stoppe artefakter, som andre kontroller overser.
• Overvåg cloudtrafik for mistænkelige downloads fra AWS, Tencent Cloud og Backblaze B2.
• Træn brugere i at undgå at åbne uventede WhatsApp-vedhæftninger, selv fra tilsyneladende betroede kontakter.

Denne kampagne er en påmindelse om, at betroede apps, legitime værktøjer og almindelige cloudtjenester alle kan bruges som våben. Forsvarsteams bør kombinere endpoint-telemetri, inspektion af cloudtrafik og brugerbevidsthed for at reducere eksponeringen.