În acest material discutăm despre un nou val de atacuri phishing, distribuite prin intermediul WhatsApp (sau de ce nu este recomandată deschiderea fișierelor primite pe WhatsApp de la persoane necunoscute).
Atacurile de tip phishing continuă să evolueze și să exploateze canale de comunicare pe care utilizatorii le percep drept sigure. Dacă în trecut e-mailul reprezenta principalul vector de distribuție pentru astfel de amenințări, în prezent aplicațiile de mesagerie precum WhatsApp sunt utilizate tot mai frecvent pentru compromiterea sistemelor informatice.
Popularitatea WhatsApp în mediul personal și profesional oferă atacatorilor un avantaj important: utilizatorii tind să acorde mai multă încredere mesajelor primite prin intermediul aplicației decât celor primite prin e-mail. Această încredere este exploatată prin tehnici de inginerie socială atent construite, care urmăresc determinarea victimei să deschidă fișiere aparent legitime.
O campanie recentă, analizată de cercetătorii în securitate informatică, demonstrează încă o dată că factorul uman rămâne una dintre cele mai vulnerabile verigi din lanțul de securitate. Atacatorii combină documente false, mesaje convingătoare și programe legitime utilizate în scopuri malițioase pentru a obține acces la sistemele compromise.
Noua campanie de phishing prin WhatsApp
Potrivit unei analize publicate de BleepingComputer, atacatorii distribuie prin WhatsApp documente de afaceri false care conving utilizatorii să execute fișiere malițioase mascate drept documente legitime. Campania a fost observată în mai multe țări și are ca scop compromiterea stațiilor de lucru și obținerea accesului la distanță asupra acestora.
Metoda este eficientă deoarece mesajele sunt construite pentru a părea comunicări profesionale obișnuite. Victima poate primi ceea ce pare a fi o factură, o comandă, un aviz de livrare sau un alt document asociat activității companiei. În realitate, atașamentul conține un fișier care declanșează instalarea componentelor malițioase.
Cum funcționează atacul prin pas cu pas
1. Se trimite mesajul fraudulos pe WhatsApp
Atacul începe prin transmiterea unui mesaj WhatsApp care imită o comunicare de afaceri legitimă. Mesajul este redactat profesional și include de regulă o solicitare urgentă de verificare a unui document sau a unei tranzacții.
Scopul principal este determinarea utilizatorului să deschidă atașamentul fără a analiza cu atenție proveniența acestuia.
2. Se deschide fișierul malițios
Atașamentul este de obicei prezentat drept document comercial, însă în realitate conține un fișier VBScript (.VBS). Acest tip de fișier poate fi executat direct de sistemul de operare Windows.
În momentul în care utilizatorul îl deschide, scriptul începe să ruleze și lansează următoarele etape ale compromiterii.
3. Se face download la componentele suplimentare
Scriptul creează directoare ascunse și descarcă fișiere suplimentare de pe servere controlate de atacatori sau găzduite pe platforme cloud legitime. Utilizarea unor servicii cunoscute ajută atacatorii să evite detectarea rapidă de către soluțiile de securitate.
În unele cazuri sunt utilizate inclusiv utilitare Windows legitime, redenumite pentru a părea componente obișnuite ale sistemului de operare.
4. Se instalează și configurează accesul de la distanță
Etapa finală presupune instalarea unor instrumente de administrare la distanță (Remote Monitoring and Management – RMM). Aceste aplicații sunt legitime și sunt utilizate frecvent de departamentele IT pentru suport tehnic.
În mâinile atacatorilor însă, aceste instrumente devin un mecanism de control complet asupra sistemului compromis. Odată instalate, ele permit accesul de la distanță, transferul de fișiere, executarea de comenzi și colectarea informațiilor sensibile.
Riscurile pentru companii
Compromiterea unei singure stații de lucru poate reprezenta punctul de intrare către întreaga infrastructură IT a companiei. Atacatorii pot fura documente confidențiale, credențiale de autentificare sau informații financiare.
Mai mult, accesul inițial obținut prin intermediul unei stații compromise poate fi utilizat pentru deplasare laterală în rețea, afectând servere, aplicații interne și alte sisteme critice.
Cum securizăm stațiile de lucru ale companiei
Utilizarea unui antivirus cu firewall administrat centralizat
Implementarea unei soluții moderne de protecție endpoint reprezintă una dintre cele mai importante măsuri de securitate. Antivirusul trebuie să includă funcții de firewall și să fie administrat printr-o consolă centralizată.
Administrarea centralizată permite monitorizarea permanentă a stațiilor, aplicarea rapidă a politicilor de securitate și identificarea dispozitivelor care prezintă comportamente suspecte.
Instalarea unui adblocker pe fiecare stație
Un adblocker reduce semnificativ expunerea utilizatorilor la reclame malițioase, redirecționări periculoase și site-uri compromise.
Deși această măsură nu elimină toate riscurile, ea contribuie la diminuarea suprafeței de atac și la blocarea unor metode comune de distribuție a malware-ului.
Utilizarea exclusivă a software-ului licențiat sau gratuit legitim
Companiile ar trebui să utilizeze doar aplicații licențiate sau soluții gratuite provenite din surse oficiale.
Software-ul piratat reprezintă un risc major deoarece poate conține cod malițios, mecanisme de acces neautorizat sau modificări efectuate de terți. În plus, lipsa actualizărilor de securitate expune sistemele la vulnerabilități cunoscute.
Creșterea nivelului de vigilență al utilizatorilor
Tehnologia nu poate înlocui complet atenția utilizatorilor. Angajații trebuie să fie instruiți să identifice mesajele suspecte și să verifice cu atenție expeditorii, atașamentele și solicitările urgente.
Orice mesaj care solicită deschiderea rapidă a unui document, executarea unui fișier sau furnizarea unor informații sensibile trebuie tratat cu suspiciune și verificat prin canale suplimentare.
Concluzie
Campania recentă de phishing distribuită prin WhatsApp demonstrează că atacatorii își adaptează permanent metodele pentru a exploata platformele de comunicare utilizate zilnic în mediul de afaceri. Folosirea unor documente false și a unor instrumente legitime de administrare la distanță face ca aceste atacuri să fie dificil de identificat de către utilizatorii neinstruiți.
Protecția eficientă a stațiilor de lucru necesită o combinație între soluții tehnice moderne – antivirus cu firewall, administrare centralizată și software licențiat – și educarea continuă a utilizatorilor.
Dacă aveți nevoie de ajutor pentru implementarea și îmbunătățirea securității în companie, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT și mentenanța IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
