Uma campanha maliciosa está utilizando mensagens diretas no WhatsApp para distribuir arquivos VBScript que instalam software legítimo de monitoramento remoto. Essa operação, identificada pela Kaspersky, está ativa em países como Malásia, Brasil, Índia, México, Singapura, Reino Unido, Espanha, Taiwan, Austrália, Rússia e Vietnã, com maior incidência de vítimas na Malásia.
Os cibercriminosos estão disfarçando os arquivos VBScript como documentos empresariais e financeiros, usando nomes como “Relatórios Financeiros.vbs” para enganar os destinatários a baixarem e executarem os arquivos. Após a execução, o script inicia uma cadeia de infecção que culmina na instalação de software de gerenciamento remoto, permitindo acesso ao sistema da vítima.
Os atacantes parecem ter obtido acesso a contas de WhatsApp, utilizando-as para distribuir os arquivos maliciosos. Embora o método exato de comprometimento dessas contas não esteja claro, os arquivos VBScript são fortemente ofuscados e imitam componentes de atualização do Windows, com comentários em chinês para parecerem legítimos.
A forma de infecção varia entre usuários do WhatsApp Web e do aplicativo de desktop. No WhatsApp Web, o usuário deve baixar e abrir o arquivo, enquanto no aplicativo de desktop, o malware é executado diretamente, com o processo “WhatsApp.Root.exe” iniciando o “WScript.exe”.
O VBScript busca baixar outros dois scripts de um servidor remoto. Um deles tenta modificar o comportamento do Controle de Conta de Usuário do Windows, enquanto o outro baixa e executa um pacote de instalação do ManageEngine RMM Central. A atividade ainda não foi atribuída a um grupo específico, mas há semelhanças com atividades anteriores do Gh0st RAT e ValleyRAT.
A Kaspersky alerta que usuários devem ser cautelosos ao receber anexos inesperados pelo WhatsApp, mesmo de contatos conhecidos. Arquivos de script e executáveis, como VBS, VBE, EXE, BAT, CMD, JS e PS1, não devem ser abertos sem verificação independente de sua legitimidade.
Fonte:https://thehackernews.com/2026/06/whatsapp-vbscript-campaign-uses-fake.html
