Uma nova campanha global de cibercrime detetada em junho de 2026 está a utilizar o sequestro de contas do WhatsApp para disseminar ficheiros VBScript maliciosos entre contactos de confiança. A ameaça afeta utilizadores das versões WhatsApp Desktop e WhatsApp Web em vários continentes, com um foco crescente no mercado europeu através do uso de múltiplos idiomas, incluindo o português. Ao assumirem o controlo de perfis legítimos, os atacantes anulam as defesas habituais baseadas no ceticismo do utilizador, facilitando a instalação de software de monitorização e gestão remota para obter controlo total dos sistemas afetados.
Redes de confiança servem de vetor para campanha de cibercrime
Os atacantes utilizam perfis legítimos previamente comprometidos para enviar mensagens com anexos maliciosos a contactos existentes na plataforma. Esta abordagem maximiza a probabilidade de a vítima abrir o documento, uma vez que a mensagem provém de um colega de trabalho ou amigo.
A equipa Global Research and Analysis Team (GReAT) da Kaspersky identificou a operação e confirmou que o principal objetivo é a intrusão em sistemas operativos Windows através de ferramentas administrativas legítimas configuradas para fins maliciosos.
A distribuição geográfica inicial revelou um volume elevado de infeções em países asiáticos como a Malásia, que lidera o número de casos registados, além de Singapura, Taiwan, Vietname e Brasil. No entanto, a inclusão de metadados e scripts traduzidos para francês, alemão, inglês e português confirma que a Europa é um dos alvos estratégicos do grupo criminoso. Os ficheiros são camuflados como faturas, comprovativos de pagamento, extratos bancários e notificações de dívida para acelerar a abertura do arquivo em ambientes corporativos.
+-------------------------------------------------------------------------+
| Fluxo de Infeção do Malware via WhatsApp |
+-------------------------------------------------------------------------+
| |
| [ Conta de WhatsApp ] ---> Envia anexo disfarçado ---> [ Utilizador ] |
| Comprometida (Fatura / Extrato .vbs) (Alvo) |
| |
| | |
| [ Execução Automática ] <-- Abre ficheiro malicioso <-----------+ |
| Windows Script Host |
| |
| | |
| v |
| [ Diretório de Trabalho ] -> Cria pasta em C:\Users\Public\Documents |
| |
| | |
| v |
| [ Infraestrutura Externa ] -> Descarrega arquivo comprimido |
| |
| | |
| v |
| [ Controlo Total ] ---------> Instala ferramenta de gestão remota |
| |
+-------------------------------------------------------------------------+
Ficheiros VBScript maliciosos imitam atualizações do Windows
O código subjacente a esta ameaça oculta-se sob a forma de comentários estruturados e metadados que mimetizam componentes oficiais do sistema operativo da Microsoft. Uma vez ativado pelo utilizador, o ficheiro executa uma sequência de comandos codificados através do Windows Script Host que operam em segundo plano sem emitir alertas visíveis.
O script inicial cria um diretório temporário no caminho local C:\Users\Public\Documents para descarregar payloads adicionais a partir de servidores de comando e controlo externos.
Fareed Radzi, investigador de segurança da equipa GReAT da Kaspersky, explica a sofisticação da engenharia social aplicada nesta campanha.
Nesta campanha, os atacantes exploram a confiança existente nas plataformas de mensagens, utilizando contas de WhatsApp comprometidas para enviar anexos maliciosos que aparentam ter origem em contactos conhecidos, tornando os destinatários muito mais propensos a interagir com eles. Os nomes dos ficheiros são cuidadosamente disfarçados como documentos empresariais rotineiros, como faturas e avisos de pagamento, e adaptados a vários idiomas para apoiar uma estratégia de disseminação alargada. Depois de abertos, desencadeiam uma cadeia de infeção em várias fases que descarrega e executa silenciosamente componentes maliciosos adicionais a partir de infraestruturas externas.
A fase final do ataque consiste na instalação silenciosa de um pacote de software de monitorização e gestão remota. Esta aplicação, embora legítima em contextos de suporte técnico corporativo, concede aos atacantes privilégios administrativos completos, permitindo a extração de dados sensíveis, monitorização de credenciais e a potencial introdução de ransomware na rede interna da empresa.
Recomendações de segurança e mitigação para empresas
A proteção contra ataques baseados em engenharia social exige uma combinação de políticas de filtragem estritas e validação de identidade fora da plataforma de mensagens. Os administradores de sistemas devem implementar regras locais para impedir a execução de scripts em computadores de trabalho.
As principais diretrizes de mitigação incluem:
- Restrição de extensões: Bloquear a execução direta de ficheiros com as extensões .vbs, .vbe, .exe, .bat, .cmd, .js e .ps1 a partir de pastas de utilizadores públicos.
- Políticas de restrição de software (SRP): Configurar o Windows AppLocker ou políticas de grupo para impedir que o WhatsApp Desktop execute subprocessos não autorizados.
- Validação de canais secundários: Confirmar por chamada telefónica ou email corporativo a legitimidade de qualquer fatura ou comprovativo recebido por plataformas de chat.
- Monitorização de rede: Implementar sistemas de deteção que identifiquem ligações invulgares de computadores locais para servidores externos não catalogados.
Implicações a longo prazo no ecossistema corporativo
Esta vaga de ataques demonstra que o perímetro de segurança das empresas já não se limita ao correio eletrónico tradicional. A transição de fluxos de trabalho para plataformas de mensagens instantâneas transformou o WhatsApp Desktop num alvo prioritário para a espionagem e a infiltração digital.
O facto de os metadados imitarem o Microsoft Windows Update prova que os atacantes investem no bypass de soluções básicas de antivírus. A resposta do sector exigirá uma integração mais profunda entre ferramentas de deteção de endpoints e a monitorização de comportamentos de aplicações de terceiros no ambiente de trabalho.
FAQ – Perguntas Frequentes
Como ocorre a infeção de malware via WhatsApp?
A infeção começa quando o utilizador descarrega e abre um anexo malicioso enviado por um contacto cuja conta foi invadida. O ficheiro ativa um script oculto que utiliza o Windows Script Host para descarregar ferramentas de controlo remoto a partir de servidores externos.
Porque é que os sistemas antivírus comuns falham nesta deteção?
Os ficheiros contêm comentários extensos e metadados alterados para se assemelharem a atualizações legítimas do Windows Update. Esta técnica confunde as ferramentas de análise baseadas em assinaturas simples, permitindo que o código corra sem levantar suspeitas imediatas.
O problema afeta apenas os utilizadores do WhatsApp no telemóvel?
Não, a campanha visa especificamente os utilizadores das versões WhatsApp Desktop e WhatsApp Web em sistemas Windows. Os ficheiros partilhados necessitam do ambiente do sistema operativo da Microsoft para executar os comandos e instalar o software de monitorização.
Pontos principais
- A campanha utiliza o sequestro de contas do WhatsApp para contornar a desconfiança inicial dos utilizadores afetados.
- Os ficheiros maliciosos utilizam a extensão VBScript e imitam faturas ou notificações de contabilidade em português, francês, alemão e inglês.
- O malware instala ferramentas legítimas de gestão remota para obter acesso administrativo completo aos computadores das vítimas.
- A Malásia regista o maior volume de casos, mas a tradução de ficheiros indica uma expansão focada no mercado europeu.
Outros artigos interessantes:
