WhatsApp-phishingangrep bruker falske dokumenter for å spre RAT-skadevare

WhatsApp-phishingangrep bruker falske forretningsdokumenter for å lure brukere til å installere ConnectWise RAT-skadevare på Windows-PC-er

Et WhatsApp-phishingangrep retter seg mot bedrifter gjennom falske dokumentforespørsler som fører til skadevareinfeksjoner. Forskere opplyser at angriperne utgir seg for å være forretningskontakter og sender meldinger som ser ut til å inneholde legitime filer.

I stedet for fakturaer eller kontrakter installerer kampanjen ConnectWise RAT, et fjernstyringsverktøy som gir angripere kontroll over infiserte systemer. Angrepet viser hvordan nettkriminelle i økende grad flytter phishingaktivitet bort fra e-post og over til betrodde meldingsplattformer.

Angripere utgir seg for å være forretningskontakter

WhatsApp-phishingangrepet starter med en melding som ser ut til å komme fra en legitim forretningskontakt. Ofrene mottar forespørsler knyttet til fakturaer, innkjøpsordrer, tilbud eller andre vanlige forretningsdokumenter.

Meldingene fremstår ofte som profesjonelle og relevante for mottakerens daglige arbeid. Dermed bygger angriperne tillit før de ber målet om å laste ned en fil.

Forskerne fant at kampanjen hovedsakelig bygger på sosial manipulering og ikke på programvaresårbarheter. Angriperne overtaler i stedet ofrene til å åpne de skadelige filene selv.

Falske dokumenter fører til installasjon av skadevare

Angriperne bruker fildelingslenker som ser ut til å inneholde forretningsdokumenter. Når offeret åpner innholdet, mottar vedkommende filer som starter infeksjonsprosessen.

Kampanjen installerer til slutt ConnectWise RAT på den kompromitterte enheten. ConnectWise brukes normalt til legitime administrative oppgaver, men trusselaktører misbruker ofte fjernstyringsverktøy fordi de glir inn i normal nettverkstrafikk.

Etter installasjonen kan angriperne fjernstyre den infiserte enheten og utføre ytterligere handlinger.

Fjernstyring skaper betydelige risikoer

WhatsApp-phishingangrepet gir angriperne mer enn bare tilgang til filer. En vellykket infeksjon kan gi langvarig kontroll over den berørte datamaskinen.

Trusselaktører kan stjele sensitive dokumenter, samle inn påloggingsinformasjon, overvåke brukeraktivitet eller installere ytterligere skadevare. I enkelte tilfeller fungerer fjernstyringsverktøy som første steg i større angrep som senere fører til datatyveri eller løsepengevirus.

Fordi skadevaren bruker en legitim plattform for fjernadministrasjon, kan sikkerhetsteam få større utfordringer med å oppdage mistenkelig aktivitet.

Meldingsplattformer blir en voksende angrepskanal

Nettkriminelle bruker i stadig større grad meldingsapper til å spre skadelig innhold. Mange ansatte stoler mer på meldinger mottatt via WhatsApp enn på tradisjonelle phishing-e-poster.

Angriperne utnytter denne tilliten ved å skjule skadevare bak tilsynelatende vanlige forretningsdokumenter. Samtidig tar stadig flere organisasjoner i bruk meldingsplattformer i det daglige arbeidet, noe som gir trusselaktører flere muligheter til å nå potensielle ofre.

Forskerne forventer at lignende kampanjer vil fortsette å rette seg mot bedrifter gjennom meldingsbaserte tjenester.

Organisasjoner bør verifisere dokumentforespørsler

Sikkerhetseksperter anbefaler at brukere kontrollerer uventede dokumentforespørsler før de laster ned filer eller åpner lenker. Ansatte bør bekrefte slike forespørsler gjennom en separat kommunikasjonskanal når det er mulig.

Organisasjoner bør også lære opp ansatte om phishingangrep som kommer via meldingsapplikasjoner. Sikkerhetsopplæring er fortsatt et av de mest effektive forsvarene mot sosial manipulering.

I tillegg kan overvåking av fjernstyringsprogramvare og begrensning av unødvendige installasjoner redusere risikoen.

Konklusjon

WhatsApp-phishingangrepet viser hvordan angripere tilpasser kjente metoder for sosial manipulering til moderne kommunikasjonsplattformer. Ved å skjule skadevare bak vanlige forretningsdokumenter øker de sannsynligheten for at ofrene installerer programvaren selv.

Ettersom phishing via meldingsplattformer fortsetter å vokse, må organisasjoner behandle uventede filforespørsler på WhatsApp med samme forsiktighet som mistenkelige e-poster.