Investigadores de segurança descobriram recentemente uma campanha que distribui ficheiros VBS (Visual Basic Script) através do WhatsApp Desktop e do WhatsApp Web. Estes ficheiros são frequentemente disfarçados como documentos empresariais de rotina, com nomes como «Relatórios Financeiros.vbs» ou «Extrato de Conta.vbs», concebidos para persuadir os destinatários a descarregar e abrir o anexo. A campanha já atingiu vítimas em vários países em todo o mundo.
Como foi executado o ataque de malware baseado em transferências
Os atacantes obtiveram acesso não autorizado a contas do WhatsApp e utilizaram-nas para enviar os ficheiros dissimulados aos contactos das contas, tirando partido da confiança que uma mensagem proveniente de um remetente conhecido inspira. Uma vez aberto, o script é executado através do «WScript.exe» e recupera cargas úteis adicionais de um servidor remoto. Uma delas enfraquece o comportamento do UAC (Controlo de Contas de Utilizador do Windows) e a outra descarrega e instala o ManageEngine RMM (Monitorização e Gestão Remotas) Central, uma ferramenta legítima de administração de TI que concede ao atacante acesso remoto persistente ao dispositivo.
O comportamento varia consoante a plataforma. No WhatsApp Web, o ficheiro tem de ser aberto manualmente a partir da pasta de downloads. No WhatsApp Desktop, verificou-se que o próprio processo em segundo plano do cliente, «WhatsApp.Root.exe», iniciava diretamente o «WScript.exe».
Por que é importante a segurança dos downloads
Esta campanha não se refere especificamente a um script ou a uma ferramenta de RMM. Revela um ponto de entrada frequentemente ignorado, através do qual os sistemas empresariais podem ficar expostos. Os colaboradores descarregam constantemente ficheiros de fornecedores, clientes, colegas de trabalho e de aplicações de mensagens que nunca foram concebidas a pensar na segurança empresarial. Cada um desses descarregamentos constitui um ponto de decisão.
Uma vez aberto, o seu conteúdo é executado com as permissões do sistema do utilizador. As defesas tradicionais não foram concebidas tendo em conta este padrão. A segurança de rede parte do princípio de que o tráfego atravessa um perímetro que pode ser inspecionado. As ferramentas antivírus dependem, em grande medida, do conhecimento prévio da aparência do software malicioso. Nenhuma destas premissas se sustenta perante um ficheiro que chega de um contacto de confiança, se faz passar por um documento comum e instala um software não malicioso.
Considerações para os responsáveis pela segurança e pelas tecnologias da informação
A principal consideração aqui não se aplica especificamente ao WhatsApp. Trata-se de um aviso relativo a qualquer canal que uma organização não tenha considerado como fonte de download de ficheiros. As aplicações de mensagens instantâneas, os links de armazenamento na nuvem, as ferramentas de colaboração e o e-mail pessoal acedido em dispositivos de trabalho representam a mesma ameaça.
Cada ficheiro merece o mesmo nível de análise no momento do download que no momento em que entra na rede. Esperar que um ficheiro apresente comportamento anómalo depois de já estar a ser executado, ou esperar que um colaborador reconheça um script disfarçado antes de clicar duas vezes nele, deixa o resultado à mercê do acaso. Controlar o que é permitido executar e avaliar cada ficheiro assim que este chega a um dispositivo elimina esse risco.
Como o site MetaDefender Endpoint protege os downloads de ficheiros
Este é precisamente o tipo de falha que a Proteção de Transferências, uma funcionalidade do OPSWAT MetaDefender Endpoint , foi concebida para resolver. A Proteção de Transferências inspeciona os ficheiros quando estes são transferidos para um terminal gerido, antes de ficarem disponíveis para abertura. MetaDefender Endpoint analisa cada ficheiro através da tecnologia Metascan™ Multiscanning com mais de 30 motores antimalware, incluindo a IA preditiva Alin da OPSWAT . Além disso, sanitiza ficheiros com a tecnologia Deep CDR™, que neutraliza proativamente ameaças baseadas em ficheiros e regenera ficheiros limpos e utilizáveis em milésimos de segundo, neutralizando scripts incorporados, macros e malware desconhecido em mais de 200 tipos de ficheiros.
MetaDefender Endpoint pode ajudar as organizações a proteger os seus sistemas críticos contra essas campanhas de download das seguintes formas:
- Um ficheiro VBS disfarçado que chega através do WhatsApp Web é analisado durante o download, antes de o utilizador ter oportunidade de clicar duas vezes nele.
- Mesmo os downloads automáticos, sem o consentimento do utilizador, são analisados de forma ativa e minuciosa com o MetaDefender Endpoint , garantindo que apenas ficheiros seguros e limpos fiquem acessíveis.
- Um ficheiro bloqueado é eliminado automaticamente, em vez de permanecer disponível para uma segunda tentativa não supervisionada.
- Uma vez que o próprio instalador do RMM é um software legítimo, a funcionalidade de controlo de aplicações disponível em MetaDefender Endpoint permite aos administradores gerir as aplicações em execução nos dispositivos geridos e bloquear aplicações indesejadas.
Como impedir futuras campanhas de downloads maliciosos
Essas campanhas passam frequentemente despercebidas porque têm como alvo os downloads e não a rede, utilizando ficheiros com aparência legítima e remetentes de confiança. Ao analisar os downloads com MetaDefender Endpoint , as organizações podem impedir ataques como este antes que qualquer script seja executado. Isto não impede os colaboradores de utilizarem as ferramentas de que dependem, incluindo aplicações de mensagens, sem que essa conveniência se torne o próximo ponto de entrada da organização. A segurança deixa de depender de que cada utilizador tome a decisão certa sobre cada ficheiro, em todas as ocasiões.
Para saber como a Download Protection lida com campanhas de downloads maliciosos, fale hoje mesmo com um especialista.
