WhatsApp-Betrug mit VBScript installiert ManageEngine-RMM zentral

LONDON (IT BOLTWISE) – Eine aktuelle Kampagne nutzt WhatsApp Desktop und Web, um über manipulierte VBScript-Dateien scheinbar harmlose Finanzdokumente zu verbreiten. Nach dem Start wird eine mehrstufige Infektionskette angestoßen, die am Ende eine legitime Remote Monitoring- und -Management-Lösung installiert. Besonders kritisch: Die Schadsoftware versucht dabei auch Schutzmechanismen wie UAC zu beeinflussen und gibt Angreifern anschließend Fernzugriff auf kompromittierte Systeme. Wie die Vorgehensweise im Detail funktioniert und warum Unternehmen RMM-Setups neu absichern müssen, ordnet dieser Bericht technisch und marktstrategisch ein.

Wie schnell aus „harmlosen“ Anhängen ein vollwertiger Fernzugriff werden kann, zeigt eine neue Social-Engineering-Kampagne, die WhatsApp Desktop und WhatsApp Web als Verteilungsweg nutzt. Sicherheitsrecherchen zufolge verschickt der Angreifer über direkte Nachrichten präparierte Visual Basic Script-Dateien (VBScript), die als Geschäfts- oder Finanzunterlagen getarnt sind. Die Zielregionen reichen Berichten zufolge von Malaysia über Indien und Brasilien bis zu Großbritannien, Spanien, Taiwan und Australien, wobei Malaysia besonders stark betroffen ist. Damit trifft der Angriff genau den Punkt, an dem moderne Kommunikationskanäle für Unternehmen zugleich produktiv und riskant sind: Kontextvertrauen ersetzt technische Prüfung.

Technisch beginnt die Kette mit stark obfuskierten VBScript-Dateien, die Dateinamen wie „Financial Reports.vbs“ oder „Account Statement.vbs“ tragen. Auffällig ist zudem die Mehrsprachigkeit: Einzelne Muster sind in Sprachen wie Portugiesisch, Französisch, Deutsch oder Malaiisch gehalten, was auf ein bewusst global ausgerichtetes Social-Engineering abzielt. Ein zusätzlicher Täuschungsmechanismus nutzt Kommentare und Metadaten, die Microsoft-Update-Komponenten imitieren sollen. Dabei werden unter anderem Hinweise auf Windows-Update-Module, Zertifikatsprüfungen, Integritätschecks und Deploymentszenarien eingebaut. Für Defender ist das relevant, weil reine String- oder Dateityp-Filter hier schnell ins Leere laufen.

Der Start erfolgt über „WScript.exe“, wodurch weitere VBScript-Komponenten nachgeladen und ausgeführt werden. Entscheidend ist, dass das Verhalten je nach Nutzungsszenario variiert: Bei WhatsApp Web hängt der Erfolg stark davon ab, ob der Nutzer die Datei herunterlädt und sie anschließend aus dem Download-Ordner oder über die Browser-Historie öffnet, während beim WhatsApp-Desktop-Client die Ausführung direkt in der Anwendung angestoßen werden kann. In der Prozesskette zeigt sich dabei, dass die WhatsApp-Client-Komponente als Parent-Prozess auftritt und „WScript.exe“ nachzieht. Solche Unterschiede wirken wie ein „Umwelt-Override“, der Sicherheits-Playbooks erschwert, weil gleiche IOCs nicht zwingend zu identischen Taktiken führen.

Das Hauptziel der VBScript-Phase ist, zwei sekundäre Payloads von einem Remote-Server abzurufen. Eine Komponente greift offenbar in das Verhalten von Windows User Account Control (UAC) ein, um die Hürde für privilegierte Aktionen zu senken. Die andere lädt ein ZIP nach, das das Installationspaket für ManageEngine RMM Central enthält und anschließend ausführt. Zwar bleibt die Kampagne attributionstechnisch ungeklärt, doch es werden Infrastruktur-Overlaps genannt, die zuvor mit Aktivitäten im Umfeld von Gh0st RAT und ValleyRAT in Verbindung gebracht wurden. Damit nähert sich der Angriff weniger einem „klassischen Malware-Drop“ an, sondern eher einem strategischen RMM-Deployment, das sich für wiederholte Wartungszugriffe eignet.

Für den Markt ist das besonders brisant, weil RMM-Tools zu den am stärksten privilegierten Bausteinen in IT-Umgebungen zählen. Während konkurrierende Anbieter wie Kaseya oder andere etablierte RMM- und MSP-Stacks ebenfalls ähnliche Remote-Mechanismen bereitstellen, zielt diese Kampagne auf ein Set-up, das Angreifer ohne „Noise“ im Tooling ausnutzen können: legitime Installationslogik, legitime Agenten, legitime Update- und Kommunikationsmuster. Branchenexperten betonen in diesem Zusammenhang häufig den Unterschied zwischen „Eindringen“ und „dauerhaftem Zugriff“: Remote-Management ist für Administratoren geschaffen, daher müssen Security-Teams es wie eine Angriffsoberfläche behandeln. Das erfordert zusätzliche Kontrollen rund um Agent-Deployments, Installationsrechte und die Authentizität von Installationspaketen, selbst wenn sie aus dem Unternehmenskontext heraus plausibel wirken.

Mit Blick auf Compliance und Regulierung verschiebt sich das Risiko zudem von der reinen Endpoint-Sicherheit hin zu Datenschutz- und Governance-Fragen. Sobald ein RMM-Agent aktiv ist, kann er je nach Konfiguration Informationen abrufen, Aktionen anstoßen und Persistenz schaffen – was in vielen Branchen unter Auflagen wie DSGVO-nahem Zweckbindungsprinzip, Protokollierungs- und Nachweispflichten sowie erhöhtem Schutzbedarf fällt. Konkrete Schutzmaßnahmen beginnen pragmatisch: Nutzer sollten unerwartete Anhänge über WhatsApp grundsätzlich misstrauisch behandeln, auch wenn sie von bekannten Kontakten stammen. Gleichzeitig sollten Organisationen Script- und Executable-Dateitypen wie VBS/VBE, EXE, BAT, CMD, JS und PS1 am Gateway und im Endgerät konsequent überwachen und nur freigeben, wenn die Legitimität unabhängig verifiziert ist. Für die Zukunft bedeutet das, dass Zero-Trust-Entscheidungen stärker an „Wer hat was initiiert?“ gekoppelt werden müssen, damit RMM-Installationen nicht als blinde Vertrauensannahme durchgehen.

💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!

🤖 Alle KI-Gadgets auf Amazon ansehen!

152 Bewertungen

Sense Robot Go KI-Go-Brett mit Roboterarm – Automatische Steinplatzierung, interaktives Lernen, Spielwiederholung – Intelligenter Weiqi-Trainer für Kinder & Erwachsene

• ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.

Bei Amazon entdecken

334 Bewertungen

ENERGIZE LAB Eiliko Coral Pink - Ihr winziger KI-Charm-Roboter, der zu jedem täglichen Outfit passt, lustiges elektronisches Anhängerspielzeug, für Paare und beste Freunde

• IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.

79,90 EUR

Bei Amazon entdecken

1.501 Bewertungen

Eilik – Interaktiver Desktop Roboter mit Persönlichkeit, lebendigen Animationen & Reaktionen, Touch-Steuerung, Mini-Spiele, emotionaler Roboter Freund und besonderes Geschenk für Kinder & Erwachsene

• 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.

159,90 EUR

Bei Amazon entdecken

53 Bewertungen

Plantbot Upgraded Large Smart Flower Pot Pet Planter Robot with Artificial Intelligence, Time Temperature Display, and Numerous Expressive Animations Based, for Indoor Decoration, Gifts (White)

• 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.

Bei Amazon entdecken

946 Bewertungen

Loona KEYI Premium Haustier-Roboter mit Ladestation (Smarte AI ChatGPT-4o, Stimmen- & Gestensteuerung, Echtzeit-Interaktion, Heimüberwachung)

• V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.

545,42 EUR

Bei Amazon entdecken

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note Pro KI-Diktiergerät für Notizen & Zusammenfassung (Schwarz)

174,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

OOONO Co-Driver NO2 Schwarz- Optimierter Co-Driver fürs Auto - Warnt vor Tempo-Kontrollen und Gefahrenstellen – Wiederaufladbar – LED-Anzeige – CarPlay & Android Auto kompatibel

60,00 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

TOSY Flying Disc – 108 RGB-LEDs mit 16 Mio. Farben, sehr hell, Smart-Modi, Auto-Aufleuchten, wiederaufladbar, wasserdicht, Outdoor-Spielzeug für Kinder & Erwachsene, 175 g

34,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KEZKALS Geschenke für Männer, 2pack-9 IN 1 Kugelschreiber, Männergeschenke

10,97 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder KI-Diktiergerät für Profis & Teams (Grau)

169,90 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!