WhatsApp üzerinden gönderilen mesajlar, sisteme meşru Uzaktan İzleme ve Yönetim (RMM) yazılımı yüklenmesine zemin hazırlayan kötü amaçlı Visual Basic Script (VBScript) dosyalarının dağıtım aracına dönüştürüldü.
Kaspersky'nin bulgularına göre aktif kampanya; Malezya, Brezilya, Hindistan, Meksika, Singapur, Birleşik Krallık, İspanya, Tayvan, Avustralya, Rusya ve Vietnam'daki WhatsApp Desktop ve WhatsApp Web kullanıcılarını hedef alıyor. Kurban yoğunluğunun en fazla olduğu ülke Malezya.
Güvenlik araştırmacısı Fareed Radzi'nin açıklamasına göre tehdit aktörü, alıcıları eki indirip çalıştırmaya ikna etmek için dosyaları iş ve finans belgelerinin adını taklit edecek şekilde isimlendiriyor. VBScript çalıştırıldığında, son aşamada meşru bir RMM yazılımı olan ManageEngine RMM Central'ın kurulumuna ulaşan çok aşamalı bir enfeksiyon zinciri devreye giriyor. Bu sayede saldırganlar kurbanın sistemine uzaktan erişim elde ediyor.
Araştırmacılar, tehdit aktörünün birden fazla WhatsApp hesabını ele geçirerek bu hesapları kötü amaçlı dosyaları kişi listelerine yaymak amacıyla kullandığını değerlendiriyor. Ancak bu hesapların tam olarak nasıl ele geçirildiği henüz bilinmiyor.
