Campagna malware WhatsApp con backdoor VBS e MSI

Introduzione

Microsoft ha pubblicato i dettagli su una sofisticata campagna malware che inizia con file VBS recapitati tramite WhatsApp e termina con accesso remoto persistente attraverso installer MSI dannosi. Per i team IT e di sicurezza, questo è importante perché gli attaccanti abusano di strumenti Windows legittimi e piattaforme cloud affidabili, rendendo l’attività più difficile da distinguere dal normale traffico aziendale.

Cosa c’è di nuovo in questa campagna

Microsoft Defender Experts ha osservato la campagna a partire dalla fine di febbraio 2026. La catena di attacco include più fasi progettate per eludere il rilevamento e mantenere un accesso a lungo termine:

• Accesso iniziale tramite WhatsApp: gli attaccanti inviano file .vbs dannosi tramite messaggi WhatsApp, facendo leva sulla fiducia degli utenti nelle app di comunicazione familiari.
• Uso di strumenti Windows rinominati: gli script copiano utility legittime come curl.exe e bitsadmin.exe, quindi le rinominano con nomi fuorvianti come netapi.dll e sc.exe.
• Distribuzione del payload da servizi cloud affidabili: i payload secondari vengono scaricati da servizi tra cui AWS S3, Tencent Cloud e Backblaze B2.
• Escalation dei privilegi e persistenza: il malware manomette le impostazioni del registro relative a UAC e tenta ripetutamente l’esecuzione di comandi con privilegi elevati.
• Backdoor MSI nella fase finale: file MSI non firmati come Setup.msi, WinRAR.msi, LinkPoint.msi e AnyDesk.msi vengono usati per stabilire accesso remoto.

Perché è significativo

Questa campagna combina diverse tendenze che i difensori stanno osservando sempre più spesso:

• Tecniche living-off-the-land che usano binari Windows nativi
• Distribuzione di malware ospitato nel cloud che si confonde con il traffico legittimo
• Social engineering tramite piattaforme di messaggistica consumer
• Persistenza tramite installer MSI che possono sembrare routine in ambienti gestiti

Una notevole opportunità di rilevamento è la discrepanza tra il nome reale di un file e i metadati PE OriginalFileName incorporati. Gli strumenti di sicurezza che ispezionano questi metadati potrebbero essere in grado di segnalare in modo più efficace i binari rinominati.

Impatto sugli amministratori IT

I team di sicurezza e degli endpoint dovrebbero presumere che il semplice blocco per tipo di file non sia sufficiente. La campagna può aggirare controlli superficiali usando cartelle nascoste, fonti di download affidabili e strumenti amministrativi legittimi.

Le organizzazioni che usano Microsoft Defender dovrebbero prestare particolare attenzione a:

• Attività dell’host di script da percorsi non affidabili (wscript, cscript, mshta)
• Modifiche al registro legate al comportamento di UAC
• Esecuzione di MSI non firmati
• Connessioni di rete verso object storage cloud usato per la preparazione dei payload
• Rilevamenti sugli endpoint legati a binari rinominati e flag sospetti della riga di comando

Prossimi passi consigliati

• Limitare l’esecuzione degli script in posizioni non affidabili dove possibile.
• Abilitare la protezione fornita dal cloud in Microsoft Defender Antivirus.
• Eseguire Defender for Endpoint EDR in block mode per fermare artefatti non rilevati da altri controlli.
• Monitorare il traffico cloud per download sospetti da AWS, Tencent Cloud e Backblaze B2.
• Formare gli utenti affinché evitino di aprire allegati WhatsApp inattesi, anche se provenienti da contatti apparentemente affidabili.

Questa campagna ricorda che app affidabili, strumenti legittimi e comuni servizi cloud possono tutti essere trasformati in armi. I difensori dovrebbero combinare telemetria degli endpoint, ispezione del traffico cloud e consapevolezza degli utenti per ridurre l’esposizione.