Un atașament din WhatsApp instalează un program malițios pentru a obține acces la nivel de SYSTEM pe Windows

Un atașament rău intenționat din WhatsApp este folosit pentru a instala un malware de tip remote access trojan pentru Windows, care poate obține acces la nivel de SYSTEM, oferind operatorilor săi un control extins asupra sistemelor infectate.

Campania începe cu o arhivă ZIP care conține o înșelătorie financiară sub forma unui document financiar și un fișier executabil numit Statement.exe.

Odată ce destinatarul deschide fișierul, programul rău intenționat declanșează un lanț ascuns care se desfășoară pe o perioadă îndelungată, trecând de la un proces la nivel de utilizator la un serviciu Windows care rulează cu drepturi LocalSystem.

Payload-ul final, denumit VulcanRAT207.A, le oferă operatorilor la distanță posibilitatea de a colecta date de sistem, de a executa comenzi, de a gestiona fișiere, de a captura ecrane, de a înregistra tastele apăsate, de a crea sau modifica conturi locale și de a implementa alte payload-uri.

Campania utilizează, de asemenea, un driver semnat pentru a închide anumite procese de securitate și creează o sarcină programată care poate reporni RAT-ul cu privilegii de SYSTEM după o repornire a sistemului.

Echipe de securitate ar trebui să trateze ca eveniment de prioritate ridicată crearea de servicii de drivere, în special din locații temporare din directorul de drivere Windows.

Pentru a-și asigura persistența, malware-ul scrie fișierele vulkaninfo-64.exe, vulkan-1.dll și vulkan-1.bin în directorul C:\Program Files\Common Files\.

VulcanRAT207.A comunică cu același server prin WebSocket versiunea 13, după ce utilizează inițial protocolul HTTP pentru recuperarea etapelor.

RAT-ul poate colecta detalii despre host, conturi de utilizator, conexiuni de rețea, aplicații instalate, procese în execuție, servicii, jurnale de evenimente și fișiere selectate de operator.

Setul său de comenzi poate crea un cont de administrator local, schimba parolele, descărca fișiere, rula fișiere executabile și chiar înregistra drivere suplimentare.

Instituțiile ar trebui să blocheze conținutul executabil primit prin WhatsApp și alte platforme de mesagerie, în special fișierele ZIP care pretind a conține situații financiare sau documente fiscale.

Monitorizarea instalării driverelor semnate și a încercărilor de întrerupere a proceselor care vizează produsele de securitate pentru terminale poate contribui, de asemenea, la oprirea acestui lanț înainte ca RAT-ul să devină activ.

Sursă: https://cybersecuritynews.com/whatsapp-attachment-deploys-malware/