WhatsApp като вход към системата. Microsoft отчита кампания с VBS malware и UAC bypass

Microsoft съобщава за активна кампания, при която зловредни VBS файлове се разпространяват чрез WhatsApp съобщения и таргетират Windows системи.

Кампанията се наблюдава от февруари 2026 г. и комбинира социално инженерство с използване на вградени системни инструменти.

Как започва атаката

Атаката започва с изпращане на VBS файл през WhatsApp.

Потребителят е подтикнат да го стартира, след което започва многоетапна инфекция.

Целите са:

• установяване на постоянство
• ескалация на права
• осигуряване на отдалечен достъп

Как работи инфекцията

След стартиране, скриптът:

• създава скрити папки в C:\ProgramData
• използва преименувани легитимни инструменти
  • curl.exe като netapi.dll
  • bitsadmin.exe като sc.exe

С тях се изтеглят допълнителни компоненти от cloud услуги като:

• AWS S3
• Tencent Cloud
• Backblaze B2

Ескалация и постоянство

След първоначалния достъп, malware-ът:

• опитва да стартира процеси с повишени права
• манипулира UAC
• прави промени в registry

В крайния етап се инсталират MSI пакети.

В някои случаи се използват легитимни инструменти като AnyDesk за постоянен достъп.

Защо това е важно

Тази кампания показва комбинация от техники.

Три извода:

1. Messaging приложенията са част от риска
Не се използва класически phishing канал.

2. Легитимни инструменти се използват като прикритие
Активността изглежда нормална.

3. Атаката се развива на етапи
Началният файл е само вход.

DIAMATIX Perspective

Това не е exploit-базирана атака.

Това е execution-базирана атака.

Зловредният файл е само началото.

Рискът идва от:

• използване на системни инструменти
• постепенно повишаване на правата
• внедряване на легитимен remote access

Голяма част от действията изглеждат нормални.

Това затруднява откриването.

Ефективният подход изисква:

• наблюдение на поведението на процесите
• откриване на нетипична употреба на системни инструменти
• следене на връзки към външни cloud услуги
• корелация между действия на потребителя и системни промени

Началната стъпка е проста.

Рискът зависи от това колко дълго остава незабелязана.

Източници

Microsoft Defender Security Research. Analysis of WhatsApp-delivered VBS malware campaign