WhatsApp-Malware-Kampagne mit VBS- und MSI-Backdoors

Einleitung

Microsoft hat Details zu einer ausgefeilten Malware-Kampagne veröffentlicht, die mit über WhatsApp zugestellten VBS-Dateien beginnt und mit dauerhaftem Remotezugriff über schädliche MSI-Installer endet. Für IT- und Sicherheitsteams ist das relevant, weil die Angreifer legitime Windows-Tools und vertrauenswürdige Cloud-Plattformen missbrauchen, wodurch sich die Aktivität schwerer von normalem Unternehmensverkehr unterscheiden lässt.

Was ist an dieser Kampagne neu?

Microsoft Defender Experts beobachteten den Beginn der Kampagne Ende Februar 2026. Die Angriffskette umfasst mehrere Stufen, die darauf ausgelegt sind, die Erkennung zu umgehen und langfristigen Zugriff aufrechtzuerhalten:

• Erstzugriff über WhatsApp: Angreifer versenden schädliche .vbs-Dateien über WhatsApp-Nachrichten und setzen dabei auf das Vertrauen der Nutzer in bekannte Kommunikations-Apps.
• Einsatz umbenannter Windows-Tools: Die Skripte kopieren legitime Dienstprogramme wie curl.exe und bitsadmin.exe und benennen sie dann in irreführende Dateinamen wie netapi.dll und sc.exe um.
• Payload-Bereitstellung über vertrauenswürdige Cloud-Dienste: Sekundäre Payloads werden von Diensten wie AWS S3, Tencent Cloud und Backblaze B2 heruntergeladen.
• Rechteausweitung und Persistenz: Die Malware manipuliert UAC-bezogene Registry-Einstellungen und versucht wiederholt, Befehle mit erhöhten Rechten auszuführen.
• MSI-Backdoors in der Endphase: Unsignierte MSI-Dateien wie Setup.msi, WinRAR.msi, LinkPoint.msi und AnyDesk.msi werden verwendet, um Remotezugriff einzurichten.

Warum das wichtig ist

Diese Kampagne kombiniert mehrere Trends, die Verteidiger immer häufiger beobachten:

• Living-off-the-land-Techniken unter Verwendung nativer Windows-Binärdateien
• Cloud-gehostete Malware-Bereitstellung, die sich in legitimen Datenverkehr einfügt
• Social Engineering über Messaging-Plattformen für Verbraucher
• Persistenz über MSI-Installer, die in verwalteten Umgebungen routinemäßig wirken können

Eine bemerkenswerte Erkennungsmöglichkeit ist die Abweichung zwischen dem tatsächlichen Dateinamen und den eingebetteten OriginalFileName-PE-Metadaten. Sicherheitstools, die diese Metadaten prüfen, können umbenannte Binärdateien möglicherweise effektiver erkennen.

Auswirkungen auf IT-Administratoren

Sicherheits- und Endpoint-Teams sollten davon ausgehen, dass eine reine Blockierung nach Dateityp nicht ausreicht. Die Kampagne kann oberflächliche Prüfungen umgehen, indem sie versteckte Ordner, vertrauenswürdige Download-Quellen und legitime Verwaltungstools nutzt.

Organisationen, die Microsoft Defender einsetzen, sollten besonders auf Folgendes achten:

• Script-Host-Aktivität aus nicht vertrauenswürdigen Pfaden (wscript, cscript, mshta)
• Registry-Änderungen im Zusammenhang mit dem UAC-Verhalten
• Ausführung unsignierter MSI-Dateien
• Netzwerkverbindungen zu Cloud-Objektspeichern, die für das Staging von Payloads genutzt werden
• Endpoint-Erkennungen im Zusammenhang mit umbenannten Binärdateien und verdächtigen Command-Line-Flags

Empfohlene nächste Schritte

• Skriptausführung einschränken an nicht vertrauenswürdigen Speicherorten, wo immer möglich.
• Cloud-basierte Schutzfunktionen aktivieren in Microsoft Defender Antivirus.
• Defender for Endpoint EDR im block mode ausführen, um Artefakte zu stoppen, die von anderen Kontrollen übersehen werden.
• Cloud-Datenverkehr überwachen auf verdächtige Downloads von AWS, Tencent Cloud und Backblaze B2.
• Nutzer schulen, keine unerwarteten WhatsApp-Anhänge zu öffnen, selbst wenn sie scheinbar von vertrauenswürdigen Kontakten stammen.

Diese Kampagne erinnert daran, dass vertrauenswürdige Apps, legitime Tools und gängige Cloud-Dienste allesamt als Waffe missbraucht werden können. Verteidiger sollten Endpoint-Telemetrie, Cloud-Datenverkehrsinspektion und Nutzeraufklärung kombinieren, um das Risiko zu reduzieren.