Специалисты по кибербезопасности обнаружили новую вредоносную кампанию, нацеленную на пользователей мессенджера WhatsApp* (принадлежит компании Meta, в России признан экстремистским и запрещен).
Новый зловред под названием SORVEPOTEL отличается от большинства аналогичных угроз тем, что его основная задача — не кража данных или шифрование файлов, а максимально быстрое распространение через веб-версию WhatsApp на операционной системе Windows, передает ИА TELMENEWS.RU
Об этой угрозе сообщили эксперты компании Trend Micro. Атака начинается с отправки фишинговых сообщений, которые рассылаются с уже взломанных аккаунтов, что повышает их убедительность для получателя. Пользователь получает ZIP-архив, замаскированный под квитанцию или медицинский документ, и доверие к отправителю побуждает открыть файл.
При открытии архива на компьютере запускается LNK-файл (ярлык Windows), который в фоновом режиме активирует скрипт PowerShell, загружающий главный вредоносный модуль с удалённого сервера. Вредоносное ПО прописывается в автозагрузку Windows, обеспечивая свой запуск при каждой перезагрузке системы. Далее оно устанавливает связь с управляющим сервером для получения дальнейших команд.
Отличительной чертой этого зловреда является способ его распространения. Если на заражённом компьютере активна веб-сессия WhatsApp, SORVEPOTEL автоматически рассылает вредоносный ZIP-архив всем контактам и группам пользователя. Это быстро превращает инфицированный аккаунт в источник спама, что часто приводит к его блокировке администрацией WhatsApp за нарушение правил.
По данным исследователей, на сегодняшний день зарегистрировано 477 случаев заражения, почти все из которых зафиксированы в Бразилии. Среди пострадавших — представители государственного сектора, промышленности, IT-сферы и образовательных учреждений. Эксперты полагают, что атака нацелена именно на десктопные версии мессенджера, поскольку использование WhatsApp Web в корпоративной среде открывает возможность проникновения в организационные сети.
