Arquivos falsos de documentos podem instalar uma ferramenta legítima de acesso remoto.
Uma campanha ativa usa mensagens diretas no WhatsApp Desktop e no WhatsApp Web para enviar arquivos VBScript maliciosos. Eles se passam por documentos comerciais ou financeiros, mas iniciam uma cadeia que termina na instalação do ManageEngine Endpoint Central. Como essa ferramenta é legítima, o invasor consegue acesso remoto ao computador sem disparar suspeitas imediatas.
Mensagens diretas no WhatsApp Desktop e no WhatsApp Web estão sendo usadas para distribuir arquivos Visual Basic Script, conhecidos como VBScript. Eles não chegam com cara de programa suspeito: a embalagem é de documento de trabalho, normalmente ligado a finanças e negócios.
A Kaspersky observou a campanha entre usuários na Malásia, Brasil, Índia, México, Singapura, Reino Unido, Espanha, Taiwan, Austrália, Rússia e Vietnã, com a maior concentração de vítimas na Malásia. O objetivo é claro: transformar uma conversa rotineira no WhatsApp em porta de entrada para acesso remoto ao computador.
O arquivo malicioso chega pelo WhatsApp travestido de documento útil. Entre os exemplos citados estão nomes como “Financial Reports.vbs” e “Account Statement.vbs”. Há ainda arquivos nomeados em outros idiomas, incluindo português, francês, alemão e malaio, o que revela um esforço de adaptar a isca a diferentes públicos.
Quando a vítima executa o arquivo, ele é aberto pelo WScript.exe, o componente do Microsoft Windows que roda scripts. A partir daí, o VBScript busca e executa novos componentes para dar sequência à infecção. No fim da cadeia entra o ManageEngine Endpoint Central, uma ferramenta legítima de monitoramento e gerenciamento remoto. O perigo não está na ferramenta, mas no uso que o invasor faz dela para controlar o sistema da vítima.
Alguns indícios simples merecem atenção antes de abrir qualquer anexo recebido no WhatsApp:
A regra principal é direta: não execute arquivos .vbs recebidos pelo WhatsApp, mesmo quando vierem de alguém conhecido. Há indícios de que os invasores obtiveram acesso indevido a contas de WhatsApp e usaram essas contas para enviar os arquivos aos contatos da vítima. Confiar apenas no nome do remetente, portanto, não basta.
Em ambientes corporativos, a equipe de TI precisa orientar os usuários, revisar computadores que receberam anexos suspeitos e checar se ferramentas de RMM foram instaladas sem autorização. Caso um arquivo tenha sido aberto, isole o computador da rede e acione o time de segurança antes de retomar o uso normal.
Não há afirmação de que o WhatsApp tenha sido invadido. A hipótese citada é que o agente de ameaça obteve acesso a algumas contas e as usou para enviar arquivos maliciosos aos contatos.
Não. A ferramenta é legítima. O risco está no uso indevido: instalada sem autorização, ela pode liberar acesso remoto ao computador da vítima.
Sim. O Brasil aparece na lista de países onde usuários de WhatsApp Desktop e WhatsApp Web foram alvo da campanha, ao lado dos demais países citados na publicação.
A LC SEC ajuda sua empresa a reduzir riscos de phishing, malware e abuso de ferramentas remotas com conscientização, inteligência de ameaças e avaliação técnica do ambiente.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://thehackernews.com/2026/06/whatsapp-vbscript-campaign-uses-fake.html