Sicherheitsforscher haben kürzlich eine Kampagne aufgedeckt, bei der VBS-Dateien (Visual Basic Script) über WhatsApp Desktop und WhatsApp Web verbreitet werden. Diese Dateien sind oft als gewöhnliche Geschäftsdokumente getarnt und tragen Namen wie „Financial Reports.vbs“ oder „Account Statement.vbs“, um die Empfänger dazu zu verleiten, den Anhang herunterzuladen und zu öffnen. Die Kampagne hat bereits Opfer in mehreren Ländern weltweit erreicht.
Wie der Malware-Angriff über einen Download durchgeführt wurde
Angreifer verschafften sich unbefugten Zugriff auf WhatsApp-Konten und nutzten diese, um die getarnten Dateien an die Kontakte des Kontos zu senden, wobei sie das Vertrauen ausnutzten, das mit einer Nachricht von einem bekannten Absender einhergeht. Sobald die Datei geöffnet wird, wird das Skript über „WScript.exe“ ausgeführt und ruft zusätzliche Payloads von einem Remote-Server ab. Eine davon schwächt die UAC-Funktionalität (Windows User Account Control), während die andere ManageEngine RMM (Remote Monitoring and Management) Central herunterlädt und installiert – ein legitimes IT-Verwaltungstool, das dem Angreifer dauerhaften Fernzugriff auf das Gerät gewährt.
Das Verhalten ist je nach Plattform unterschiedlich. Bei WhatsApp Web muss die Datei manuell aus dem Download-Ordner geöffnet werden. Bei WhatsApp Desktop wurde beobachtet, dass der client-eigene Hintergrundprozess „WhatsApp.Root.exe“ direkt „WScript.exe“ startet.
Warum die Sicherheit beim Herunterladen wichtig ist
Diese Kampagne bezieht sich nicht speziell auf ein Skript oder ein RMM-Tool. Sie deckt einen oft übersehenen Angriffspunkt auf, über den Unternehmenssysteme gefährdet werden können. Mitarbeiter laden ständig Dateien von Anbietern, Kunden, Kollegen und aus Messaging-Apps herunter, die nie unter Berücksichtigung von Unternehmenssicherheit entwickelt wurden. Jeder dieser Downloads ist ein Entscheidungspunkt.
Sobald die Datei geöffnet wird, wird ihr Inhalt mit den Systemberechtigungen des Benutzers ausgeführt. Herkömmliche Abwehrmaßnahmen wurden nicht unter Berücksichtigung dieses Musters entwickelt. Bei der Netzwerksicherheit wird davon ausgegangen, dass der Datenverkehr eine Perimetergrenze passiert, die überprüft werden kann. Antivirenprogramme stützen sich größtenteils darauf, dass sie bereits im Voraus wissen, wie schädliche Software aussieht. Keine dieser Annahmen hält einer Datei stand, die von einem vertrauenswürdigen Kontakt stammt, ein alltägliches Dokument imitiert und eine harmlose Software installiert.
Überlegungen für Führungskräfte im Bereich Sicherheit und IT
Der hier angesprochene Aspekt gilt nicht nur für WhatsApp. Es handelt sich um eine Warnung vor allen Kanälen, die ein Unternehmen nicht als Quelle für Dateidownloads in Betracht gezogen hat. Instant-Messaging-Apps, Links zu Cloud-Speichern, Tools für die Zusammenarbeit und private E-Mails, auf die über Arbeitsgeräte zugegriffen wird, stellen dieselbe Gefahr dar.
Jede Datei verdient beim Herunterladen dieselbe sorgfältige Prüfung wie beim Eintritt ins Netzwerk. Darauf zu warten, dass eine Datei erst dann Fehlverhalten zeigt, wenn sie bereits ausgeführt wird, oder darauf zu hoffen, dass ein Mitarbeiter ein getarntes Skript erkennt, bevor er darauf doppelklickt, überlässt das Ergebnis dem Zufall. Die Kontrolle darüber, was ausgeführt werden darf, und die Überprüfung jeder Datei, sobald sie auf einem Gerät landet, beseitigt dieses Risiko.
Wie MetaDefender Endpoint Dateidownloads sichert
Genau diesen Fehlermodus soll der Download-Schutz, eine Funktion von „ OPSWAT “ (MetaDefender Endpoint ), verhindern. Der Download-Schutz überprüft Dateien beim Herunterladen auf einen verwalteten Endpunkt, noch bevor sie geöffnet werden können. MetaDefender Endpoint scannt jede Datei mithilfe der Metascan™-Technologie ( Multiscanning ) mit mehr als 30 Anti-Malware-Engines, darunter die Predictive Alin AI von OPSWAT . Zudem bereinigt es Dateien mit der Deep CDR™-Technologie, die dateibasierte Bedrohungen proaktiv entschärft und innerhalb von Millisekunden saubere, nutzbare Dateien regeneriert, wobei eingebettete Skripte, Makros und unbekannte Malware in über 200 Dateitypen neutralisiert werden.
MetaDefender Endpoint kann Unternehmen auf folgende Weise dabei helfen, ihre kritischen Systeme vor solchen Download-Kampagnen zu schützen:
- Eine getarnte VBS-Datei, die über WhatsApp Web eingeht, wird bereits während des Herunterladens gescannt, noch bevor der Nutzer die Möglichkeit hat, darauf zu doppelklicken.
- Selbst Drive-by-Downloads ohne Zustimmung des Nutzers werden aktiv und gründlich mit MetaDefender Endpoint gescannt, um sicherzustellen, dass nur sichere, virenfreie Dateien zugänglich sind.
- Eine gesperrte Datei wird automatisch gelöscht, anstatt für einen zweiten, unbeaufsichtigten Versuch verfügbar zu bleiben.
- Da das RMM-Installationsprogramm selbst legitime Software ist, ermöglicht die Funktion zur Anwendungskontrolle unter MetaDefender Endpoint Administratoren, die auf verwalteten Geräten ausgeführten Anwendungen zu steuern und unerwünschte Anwendungen zu blockieren.
So verhindern Sie künftige böswillige Download-Kampagnen
Solche Kampagnen bleiben oft unbemerkt, da sie nicht auf das Netzwerk, sondern auf Downloads abzielen und dabei seriös wirkende Dateien sowie vertrauenswürdige Absender nutzen. Durch das Scannen von Downloads mit MetaDefender Endpoint können Unternehmen Angriffe wie diesen stoppen, bevor ein Skript ausgeführt wird. Dies hindert Mitarbeiter nicht daran, die Tools zu nutzen, auf die sie sich verlassen – einschließlich Messaging-Apps –, ohne dass dieser Komfort zum nächsten Einfallstor für das Unternehmen wird. Die Sicherheit hängt nicht mehr davon ab, dass jeder Nutzer bei jeder Datei jedes Mal die richtige Entscheidung trifft.
Um zu erfahren, wie „Download Protection“ mit Kampagnen umgeht, die schädliche Download-Inhalte verbreiten, wenden Sie sich noch heute an einen Experten.
