WhatsApp et la menace des scripts malveillants : une attaque ciblant les utilisateurs de plusieurs pays

Imaginez recevoir un message WhatsApp d’un ami, sans texte, juste une pièce jointe. Vous pensez qu’il s’agit d’un document important et l’ouvrez sans méfiance. En réalité, vous venez de permettre à des cybercriminels d’accéder à votre ordinateur. C’est ainsi que des milliers de personnes se retrouvent piégées par une campagne malveillante qui sévit toujours.

Une campagne de piratage sophistiquée utilise actuellement WhatsApp pour diffuser des scripts malveillants. Ces fichiers, une fois ouverts, installent un outil de contrôle à distance sur les ordinateurs des victimes. L’attaque a déjà touché des utilisateurs dans onze pays et reste active. Les experts en cybersécurité s’inquiètent de l’ampleur de cette menace et de la facilité avec laquelle elle peut se propager.

Les 3 infos clés

• Des scripts VBScript diffusés via WhatsApp installent un outil d’administration à distance sur les PC Windows des victimes.
• La campagne a touché des utilisateurs dans onze pays, avec la Malaisie comptant 80 % des victimes.
• Les fichiers malveillants, ressemblant à des documents financiers, trompent les victimes et désactivent les mécanismes de sécurité de Windows.

Comment la campagne a été orchestrée

Les cybercriminels ont compromis plusieurs comptes WhatsApp pour diffuser ces fichiers piégés. Ces messages n’ont pas de texte, juste une pièce jointe qui imite des documents financiers courants, tels que des relevés bancaires ou des listes de paiements. Les fichiers sont conçus pour paraître légitimes et existent en plusieurs langues, notamment le portugais, le français, l’allemand et le malais.

Une fois ouverts, ces scripts créent un répertoire caché sur le disque dur de l’utilisateur et téléchargent des scripts supplémentaires depuis un serveur distant. Certaines variantes de l’attaque modifient des utilitaires Windows légitimes pour contourner les systèmes de sécurité.

Les techniques d’évasion utilisées

Pour éviter la détection, les scripts désactivent les invites de contrôle de compte utilisateur (UAC) de Windows, ce qui permet aux cybercriminels d’installer des logiciels malveillants sans aucune alerte. Le processus de modification des paramètres de sécurité se répète jusqu’à ce que les privilèges nécessaires soient obtenus.

Ensuite, un troisième script télécharge une archive ZIP contenant un déployeur de ManageEngine Endpoint Central, un outil d’administration d’entreprise. Ce logiciel, bien que légitime, est utilisé ici pour un accès à distance non autorisé aux systèmes de la victime.

Les recommandations pour se protéger

Il est recommandé de ne jamais ouvrir des fichiers joints provenant de contacts connus si leur extension est suspecte (VBS, VBE, BAT, CMD, JS, PS1). Les utilisateurs doivent prévenir leurs contacts par d’autres moyens si leur compte semble compromis et s’assurer que leur système d’exploitation et leurs logiciels sont à jour.

Microsoft indique que VBScript sera désactivé par défaut dans les prochaines versions de Windows 11, réduisant ainsi le risque d’exploitation par ce vecteur d’attaque.

Foire aux questions sur la campagne malveillante WhatsApp

Qu’est-ce qu’un script VBScript et comment fonctionne-t-il ?

VBScript est un langage de script intégré à Windows, initialement conçu pour automatiser des tâches système. Dans cette campagne, il est utilisé pour exécuter des actions malveillantes sur l’ordinateur des victimes.

Pourquoi ManageEngine Endpoint Central est-il utilisé dans cette attaque ?

ManageEngine Endpoint Central est un outil d’administration légitime utilisé pour gérer des parcs informatiques. Les cybercriminels l’utilisent ici pour obtenir un accès à distance et déployer des logiciels de manière furtive, échappant ainsi à la détection des antivirus.

Quels sont les pays les plus touchés par cette campagne ?

La Malaisie est le pays le plus touché, représentant 80 % des victimes. D’autres pays concernés incluent le Brésil, l’Inde, le Mexique, Singapour, le Royaume-Uni, l’Espagne, Taïwan, l’Australie, la Russie et le Vietnam.

Les futures mises à jour de Windows et leur impact sur la sécurité

Microsoft prévoit de désactiver VBScript par défaut dans les prochaines versions de Windows 11. Cette mesure devrait réduire considérablement les risques d’exposition à des attaques similaires, rendant plus difficile pour les cybercriminels d’exploiter cette faille.

La désactivation de VBScript s’inscrit dans une série de mesures visant à renforcer la sécurité des systèmes d’exploitation Windows, en réponse aux menaces cybernétiques croissantes.

Les défis de la cybersécurité face à l’évolution des menaces

Les menaces cybernétiques évoluent constamment, obligeant les entreprises comme Microsoft et Zoho Corporation à adapter leurs stratégies. Alors que les attaques deviennent plus sophistiquées, la collaboration entre les entreprises et les experts en cybersécurité est essentielle pour anticiper et contrer ces nouvelles menaces.

Les nouvelles technologies, telles que l’intelligence artificielle et l’apprentissage automatique, jouent un rôle de plus en plus important dans la détection et la prévention des cyberattaques. Des entreprises comme Kaspersky et Symantec explorent ces innovations pour offrir des solutions de sécurité plus robustes et réactives.