Die neu entdeckte Malware-Kampagne zeigt ein hohes Maß an Raffinesse und Planung. Alles beginnt damit, dass Cyberkriminelle über WhatsApp-Nachrichten bösartige VBS-Dateien verteilen. Bislang ist unklar, welche Köder die Angreifer verwenden, um Nutzer zum Ausführen dieser Skripte zu bewegen. Dies deutet darauf hin, dass möglicherweise gezielt recherchierte oder social-engineered Nachrichten zum Einsatz kommen.
Sobald die Malware ausgeführt wird, beginnt sie mit der Etablierung einer versteckten Infrastruktur. Die Schadsoftware erstellt verborgene Ordner im Windows-Verzeichnis “C:\ProgramData” und platziert dort umbenannte Versionen legitimer Windows-Werkzeuge. Besonders tückisch: Das bekannte “curl.exe” wird als “netapi.dll” getarnt, “bitsadmin.exe” als “sc.exe”. Diese Verschleierung ermöglicht es der Malware, im normalen Systemverkehr unterzugehen und damit erheblich schwerer zu entdecken zu sein.
Der nächste kritische Schritt ist die Ausweitung der Kontrolle über das System. Die Malware lädt zusätzliche bösartige VBS-Dateien von den genannten Cloud-Diensten herunter und nutzt dafür die umbenannten legitimen Tools. Dadurch entsteht der Eindruck, dass es sich um normalen Systemverkehr handelt – ein klassischer “Living-off-the-Land”-Ansatz.
Besonders gefährlich ist die UAC-Bypass-Technik. Microsoft berichtet, dass die Malware gezielt die User Account Control manipuliert und die Registry unter “HKLM\Software\Microsoft\Win” modifiziert. Das System versucht wiederholt, “cmd.exe” mit erhöhten Rechten zu starten, bis dies erfolgreich ist. Diese Persistent-Mechanismen stellen sicher, dass die Infektion auch nach einem Neustart bestehen bleibt.
Hat die Malware erst einmal administrative Rechte erlangt, installiert sie unsignierte MSI-Pakete. Dabei kommen auch legitime Tools wie AnyDesk zum Einsatz, die den Angreifern permanenten Remote-Zugriff auf das System geben. Damit können sie Daten exfiltrieren oder zusätzliche Malware nachladen.
Das Besondere dieser Kampagne liegt in der Kombination mehrerer Angriffsvektoren: Social Engineering über einen populären Messenger, Verschleierung durch bekannte Tools, Nutzung vertrauenswürdiger Cloud-Infrastruktur und schließlich systemtiefe Manipulation. Für Nutzer und IT-Administratoren ist diese Bedrohung erheblich, da sie bei einer erfolgreichen Infektion vollständige Kontrolle über das System bedeutet. Deutsche Unternehmen sollten ihre Mitarbeiter sensibilisieren und auf verdächtige WhatsApp-Nachrichten hinweisen.