WhatsApp-nätfiskeattack använder falska dokument för att sprida RAT-skadlig kod

WhatsApp-nätfiskeattack använder falska affärsdokument för att lura användare att installera ConnectWise RAT-skadlig kod på Windows-datorer

En WhatsApp-nätfiskeattack riktar sig mot företag genom falska dokumentförfrågningar som leder till skadlig kod. Forskare uppger att angriparna utger sig för att vara affärskontakter och skickar meddelanden som ser ut att innehålla legitima filer.

I stället för fakturor eller kontrakt installerar kampanjen ConnectWise RAT, ett fjärråtkomstverktyg som ger angripare kontroll över infekterade system. Angreppet visar hur cyberkriminella i allt större utsträckning flyttar nätfiske från e-post till betrodda meddelandeplattformar.

Angripare utger sig för att vara affärskontakter

WhatsApp-nätfiskeattacken börjar med ett meddelande som ser ut att komma från en legitim affärskontakt. Offren får förfrågningar om fakturor, inköpsorder, offerter eller andra vanliga affärsdokument.

Meddelandena ser ofta professionella ut och passar in i mottagarens dagliga arbete. Därför lyckas angriparna skapa förtroende innan de uppmanar mottagaren att ladda ner en fil.

Forskarna upptäckte att kampanjen främst bygger på social manipulation och inte på mjukvarusårbarheter. Angriparna övertalar i stället offren att själva öppna de skadliga filerna.

Falska dokument leder till installation av skadlig kod

Angriparna använder fildelningslänkar som ser ut att innehålla affärsdokument. När offret öppnar innehållet får personen filer som startar infektionen.

Kampanjen installerar i slutändan ConnectWise RAT på den komprometterade datorn. ConnectWise används normalt för legitima administrativa uppgifter, men hotaktörer missbrukar ofta fjärråtkomstverktyg eftersom de smälter in i vanlig nätverkstrafik.

Efter installationen kan angriparna fjärrstyra den infekterade enheten och utföra ytterligare åtgärder.

Fjärråtkomst skapar stora risker

WhatsApp-nätfiskeattacken ger angriparna mer än bara tillgång till filer. En lyckad infektion kan ge långvarig kontroll över den drabbade datorn.

Hotaktörer kan stjäla känsliga dokument, samla in inloggningsuppgifter, övervaka användaraktivitet eller installera ytterligare skadlig kod. I vissa fall fungerar fjärråtkomstverktyg som första steget i större angrepp som senare leder till datastöld eller ransomware.

Eftersom skadlig koden använder en legitim plattform för fjärradministration kan säkerhetsteam få svårare att upptäcka misstänkt aktivitet.

Meddelandeplattformar blir en växande angreppsväg

Cyberkriminella använder i allt högre grad meddelandeappar för att sprida skadligt innehåll. Många anställda litar mer på meddelanden i WhatsApp än på traditionella nätfiskemejl.

Angriparna utnyttjar den tilliten genom att maskera skadlig kod som vanliga affärsdokument. Samtidigt använder allt fler organisationer meddelandeplattformar i det dagliga arbetet, vilket ger hotaktörer fler möjligheter att nå sina mål.

Forskarna räknar med att liknande kampanjer kommer att fortsätta rikta in sig på företag via meddelandetjänster.

Organisationer bör verifiera dokumentförfrågningar

Säkerhetsexperter rekommenderar att användare kontrollerar oväntade dokumentförfrågningar innan de laddar ner filer eller öppnar länkar. Medarbetare bör bekräfta sådana förfrågningar genom en separat kommunikationskanal när det är möjligt.

Organisationer bör även utbilda personalen om nätfiskeattacker som sprids via meddelandeappar. Säkerhetsutbildning är fortfarande ett av de mest effektiva skydden mot social manipulation.

Dessutom kan övervakning av fjärråtkomstverktyg och begränsning av onödiga installationer minska risken för intrång.

Slutsats

WhatsApp-nätfiskeattacken visar hur angripare anpassar välkända metoder för social manipulation till moderna kommunikationsplattformar. Genom att dölja skadlig kod bakom vanliga affärsdokument ökar de chansen att offren själva installerar programvaran.

I takt med att nätfiske via meddelandetjänster växer behöver organisationer behandla oväntade filförfrågningar på WhatsApp med samma försiktighet som misstänkta e-postmeddelanden.