WhatsApp-malwarecampagne met VBS- en MSI-backdoors

Introductie

Microsoft heeft details gepubliceerd over een geavanceerde malwarecampagne die begint met via WhatsApp geleverde VBS-bestanden en eindigt met persistente externe toegang via kwaadaardige MSI-installers. Voor IT- en securityteams is dit belangrijk omdat aanvallers legitieme Windows-tools en vertrouwde cloudplatforms misbruiken, waardoor de activiteit moeilijker te onderscheiden is van normaal enterprise-verkeer.

Wat is er nieuw in deze campagne

Microsoft Defender Experts observeerden de campagne vanaf eind februari 2026. De aanvalsketen omvat meerdere fasen die zijn ontworpen om detectie te ontwijken en langdurige toegang te behouden:

• Initiële toegang via WhatsApp: Aanvallers versturen kwaadaardige .vbs-bestanden via WhatsApp-berichten en vertrouwen daarbij op het gebruikersvertrouwen in vertrouwde communicatie-apps.
• Gebruik van hernoemde Windows-tools: De scripts kopiëren legitieme hulpprogramma’s zoals curl.exe en bitsadmin.exe en hernoemen die vervolgens naar misleidende bestandsnamen zoals netapi.dll en sc.exe.
• Payloadlevering via vertrouwde cloudservices: Secundaire payloads worden gedownload vanaf services zoals AWS S3, Tencent Cloud en Backblaze B2.
• Privilege escalation en persistentie: De malware manipuleert UAC-gerelateerde registerinstellingen en probeert herhaaldelijk opdrachten met verhoogde rechten uit te voeren.
• MSI-backdoors in de laatste fase: Niet-ondertekende MSI-bestanden zoals Setup.msi, WinRAR.msi, LinkPoint.msi en AnyDesk.msi worden gebruikt om externe toegang tot stand te brengen.

Waarom dit belangrijk is

Deze campagne combineert verschillende trends die defenders steeds vaker zien:

• Living-off-the-land-technieken met native Windows-binaries
• Via de cloud gehoste malwarelevering die opgaat in legitiem verkeer
• Social engineering via consumenten-messagingplatforms
• Persistentie via MSI-installers die in beheerde omgevingen routineus kunnen lijken

Een opvallende detectiekans is de mismatch tussen de werkelijke bestandsnaam van een bestand en de ingesloten OriginalFileName PE-metadata. Securitytools die deze metadata inspecteren, kunnen hernoemde binaries mogelijk effectiever markeren.

Impact op IT-beheerders

Security- en endpointteams moeten ervan uitgaan dat alleen blokkeren op bestandstype niet voldoende is. De campagne kan oppervlakkige inspectie omzeilen door verborgen mappen, vertrouwde downloadbronnen en legitieme beheertools te gebruiken.

Organisaties die Microsoft Defender gebruiken, moeten extra letten op:

• Activiteit van scripthosts vanaf niet-vertrouwde paden (wscript, cscript, mshta)
• Registerwijzigingen gekoppeld aan UAC-gedrag
• Uitvoering van niet-ondertekende MSI-bestanden
• Netwerkverbindingen naar cloud object storage die wordt gebruikt voor payload-staging
• Endpoint-detecties gekoppeld aan hernoemde binaries en verdachte command-line-flags

Aanbevolen vervolgstappen

• Beperk scriptuitvoering op niet-vertrouwde locaties waar mogelijk.
• Schakel cloud-delivered protection in in Microsoft Defender Antivirus.
• Voer Defender for Endpoint EDR uit in block mode om artefacten te stoppen die door andere controles zijn gemist.
• Monitor cloudverkeer op verdachte downloads vanaf AWS, Tencent Cloud en Backblaze B2.
• Train gebruikers om onverwachte WhatsApp-bijlagen niet te openen, zelfs niet van ogenschijnlijk vertrouwde contacten.

Deze campagne herinnert eraan dat vertrouwde apps, legitieme tools en gangbare cloudservices allemaal kunnen worden ingezet als wapen. Defenders moeten endpoint-telemetrie, inspectie van cloudverkeer en gebruikersbewustzijn combineren om de blootstelling te verminderen.