Nova ameaça no WhatsApp utiliza ferramentas de PC para espionagem

Especialistas do Microsoft Defender detectaram uma nova ofensiva cibernética, ativa desde o final de fevereiro de 2026, que utiliza o WhatsApp como porta de entrada. A estratégia explora a confiança dos usuários no aplicativo para disseminar arquivos de Visual Basic Script (VBS) que instalam ferramentas de acesso remoto (RAT) nos computadores das vítimas.

O Método de Infecção: Camuflagem e Engano

O ataque aproveita a engenharia social, já que usuários tendem a baixar arquivos de contatos conhecidos no WhatsApp. Uma vez executado, o script inicia um processo de múltiplos estágios:

• Criação de Pastas Ocultas: O malware se aloja em C:\ProgramData.
• Disfarce de Binários Legítimos: Utilitários reais do Windows são copiados e renomeados para enganar o usuário. Por exemplo, o curl.exe vira netapi.dll e o bitsadmin.exe torna-se sc.exe.
• Falha na Camuflagem: Apesar da troca de nomes, os atacantes esqueceram de alterar os metadados PE (Portable Executable). Soluções de segurança ainda conseguem identificar o nome original dos arquivos (OriginalFileName), revelando a fraude.

Uso de Infraestrutura em Nuvem para Evasão

Para baixar os componentes finais do vírus (como o auxs.vbs), os criminosos utilizam serviços de armazenamento legítimos, como AWS S3, Tencent Cloud e Backblaze B2.

Essa tática é eficaz porque o tráfego para essas plataformas raramente é bloqueado por firewalls corporativos, permitindo que o download malicioso se misture à atividade comum da rede.

Manipulação do Sistema e Persistência

Para garantir o controle total da máquina, o malware realiza as seguintes ações:

1. Bypass de UAC: Altera o registro do Windows para suprimir os avisos de segurança (User Account Control). Isso permite que o malware obtenha privilégios de administrador silenciosamente.
2. Persistência: Insere entradas no Registro do sistema para garantir que o vírus seja executado automaticamente sempre que o computador for ligado.
3. Instalação de Softwares de Acesso Remoto: Distribui instaladores MSI (como AnyDesk e WinRAR) sem assinaturas digitais. No caso do AnyDesk, o atacante ganha acesso total e remoto ao PC para roubar dados ou instalar novos vírus.

Como se Prevenir

Para mitigar os riscos dessa campanha, o Microsoft Defender sugere as seguintes medidas:

• Bloqueio de Scripts: Restringir a execução de ferramentas como wscript, cscript e mshta em pastas não confiáveis.
• Monitoramento de Metadados: Configurar ferramentas de segurança para alertar sobre arquivos do sistema que estejam rodando com nomes diferentes de seus metadados originais.
• Proteção de Endpoint: Manter o EDR (Endpoint Detection and Response) ativo e utilizar a proteção contra adulterações, impedindo que o malware desative o antivírus.
• Conscientização: Instruir funcionários e usuários a jamais executar arquivos recebidos via WhatsApp, mesmo que o remetente pareça confiável.