WhatsApp malware kampanja sa VBS i MSI backdoor-ima

Uvod

Microsoft je objavio detalje o sofisticiranoj malware kampanji koja počinje VBS fajlovima isporučenim preko WhatsApp-a, a završava se trajnim udaljenim pristupom kroz zlonamerne MSI instalere. Za IT i bezbednosne timove ovo je važno zato što napadači zloupotrebljavaju legitimne Windows alate i pouzdane cloud platforme, što otežava razlikovanje ove aktivnosti od uobičajenog enterprise saobraćaja.

Šta je novo u ovoj kampanji

Microsoft Defender Experts su primetili početak kampanje krajem februara 2026. Lanac napada uključuje više faza osmišljenih da izbegnu detekciju i održe dugoročan pristup:

• Početni pristup preko WhatsApp-a: Napadači šalju zlonamerne .vbs fajlove putem WhatsApp poruka, oslanjajući se na poverenje korisnika u poznate aplikacije za komunikaciju.
• Upotreba preimenovanih Windows alata: Skripte kopiraju legitimne alate kao što su curl.exe i bitsadmin.exe, a zatim ih preimenuju u obmanjujuće nazive poput netapi.dll i sc.exe.
• Isporuka payload-a sa pouzdanih cloud servisa: Sekundarni payload-i se preuzimaju sa servisa kao što su AWS S3, Tencent Cloud i Backblaze B2.
• Eskalacija privilegija i postojanost: Malware menja registry podešavanja povezana sa UAC-om i više puta pokušava izvršavanje komandi sa povišenim privilegijama.
• MSI backdoor-i u završnoj fazi: Nepotpisani MSI fajlovi kao što su Setup.msi, WinRAR.msi, LinkPoint.msi i AnyDesk.msi koriste se za uspostavljanje udaljenog pristupa.

Zašto je ovo značajno

Ova kampanja kombinuje nekoliko trendova koje branioci sve češće viđaju:

• Living-off-the-land tehnike koje koriste izvorne Windows binarne fajlove
• Isporuku malware-a sa cloud hostinga koja se uklapa u legitimni saobraćaj
• Social engineering preko potrošačkih platformi za razmenu poruka
• Postojanost kroz MSI instalere koji mogu delovati rutinski u upravljanim okruženjima

Značajna prilika za detekciju je neslaganje između stvarnog naziva fajla i ugrađenih OriginalFileName PE metapodataka. Bezbednosni alati koji proveravaju ove metapodatke mogu efikasnije označiti preimenovane binarne fajlove.

Uticaj na IT administratore

Bezbednosni i endpoint timovi treba da polaze od toga da blokiranje samo po tipu fajla nije dovoljno. Kampanja može zaobići površnu proveru korišćenjem skrivenih foldera, pouzdanih izvora za preuzimanje i legitimnih administrativnih alata.

Organizacije koje koriste Microsoft Defender treba da obrate posebnu pažnju na:

• Aktivnost script host procesa sa nepouzdanih putanja (wscript, cscript, mshta)
• Registry izmene povezane sa UAC ponašanjem
• Izvršavanje nepotpisanih MSI fajlova
• Mrežne konekcije ka cloud object storage servisima koji se koriste za staging payload-a
• Endpoint detekcije povezane sa preimenovanim binarnim fajlovima i sumnjivim command-line parametrima

Preporučeni sledeći koraci

• Ograničite izvršavanje skripti na nepouzdanim lokacijama gde god je to moguće.
• Omogućite cloud-delivered protection u Microsoft Defender Antivirus.
• Pokrenite Defender for Endpoint EDR u block mode-u kako biste zaustavili artefakte koje druge kontrole propuste.
• Pratite cloud saobraćaj zbog sumnjivih preuzimanja sa AWS, Tencent Cloud i Backblaze B2 servisa.
• Obučite korisnike da ne otvaraju neočekivane WhatsApp priloge, čak ni kada dolaze od naizgled pouzdanih kontakata.

Ova kampanja podseća da pouzdane aplikacije, legitimni alati i uobičajeni cloud servisi mogu biti pretvoreni u oružje. Branioci treba da kombinuju endpoint telemetriju, inspekciju cloud saobraćaja i svest korisnika kako bi smanjili izloženost.