Perisian Hasad SORVEPOTEL

Kempen perisian hasad yang bergerak pantas bernama SORVEPOTEL secara aktif mengeksploitasi kepercayaan orang ramai terhadap WhatsApp untuk menyebarkan dirinya ke seluruh persekitaran Windows. Tidak seperti kebanyakan serangan moden yang dibina untuk kecurian data atau perisian tebusan, kempen ini dioptimumkan untuk penyebaran yang cepat dan berskala besar — yang menjadikannya amat berbahaya dalam konteks perusahaan di mana satu desktop yang terjejas boleh menimbulkan lebih banyak jangkitan.

Apa Itu SORVEPOTEL

SORVEPOTEL ialah keluarga perisian hasad Windows yang menyebarkan sendiri yang memanfaatkan kejuruteraan sosial dan versi desktop/web WhatsApp untuk mengedarkan lampiran berniat jahat kepada kenalan dan kumpulan mangsa. Objektif utamanya nampaknya adalah penyebaran pantas dan penyalahgunaan akaun (mengakibatkan spam dan larangan akaun), bukan penyingkiran data serta-merta atau penyulitan fail.

Bagaimana Mangsa Dipikat

Penyerang bermula daripada kenalan WhatsApp yang terjejas atau, dalam beberapa kes, dengan e-mel yang kelihatan sah. Mesej itu mengandungi fail ZIP yang menyamar sebagai item yang tidak berbahaya (contohnya, resit atau fail aplikasi kesihatan). Jika penerima membuka ZIP pada desktop, langkah berikut biasanya berlaku:

• Mangsa ditipu untuk melancarkan pintasan Windows (LNK) di dalam arkib.
• LNK menjalankan perintah PowerShell secara senyap yang memuat turun muatan peringkat seterusnya daripada hos luaran (contoh yang dikenal pasti ialah sorvetenopoate.com).

Muatan yang diambil ialah skrip kelompok yang mewujudkan kegigihan dan melaksanakan arahan selanjutnya.

Butiran Perlaksanaan Dan Mekanisme Kegigihan

Setelah dipasang, skrip kelompok menyalin dirinya ke dalam folder Permulaan Windows supaya ia akan berjalan secara automatik selepas but sistem. Ia juga menggunakan PowerShell untuk menghubungi pelayan Command-and-Control (C2) untuk arahan susulan atau untuk mengambil komponen tambahan. Tingkah laku ini membolehkan perisian hasad kekal bermastautin dan menerima arahan jauh daripada pengendali.

WhatsApp Sebagai Enjin Penyebaran

Ciri teras SORVEPOTEL ialah rutin penyebaran WhatsAppnya. Jika perisian hasad mengesan bahawa WhatsApp Web (pelanggan desktop/web) aktif pada mesin yang dijangkiti, ia mengautomasikan pengedaran ZIP berniat jahat yang sama kepada:

• Semua kenalan yang dipautkan ke akaun yang terjejas, dan
• Semua kumpulan milik akaun itu.

Pengedaran automatik ini menghasilkan jumlah spam keluar yang sangat tinggi, yang sering mencetuskan pengesanan penyalahgunaan WhatsApp dan membawa kepada akaun yang digantung atau diharamkan.

Skop Dan Siapa Yang Terkena

Kempen setakat ini sangat tertumpu di Brazil: 457 daripada 477 jangkitan yang direkodkan berasal dari sana. Organisasi yang disasarkan merangkumi beberapa sektor, terutamanya:

• kerajaan dan perkhidmatan awam
• pembuatan
• teknologi
• pendidikan
• pembinaan

Terutamanya, pengendali nampaknya tidak menggunakan akses yang diperoleh untuk kecurian data massa atau untuk menggunakan perisian tebusan; hasil yang boleh diperhatikan ialah penyebaran agresif dan penyalahgunaan akaun.

Vektor Taburan Tambahan Diperhatikan

Walaupun mesej berasaskan WhatsApp adalah laluan penyebaran utama, penganalisis telah menemui bukti bahawa penyerang juga mengedarkan lampiran ZIP berniat jahat yang sama melalui e-mel, kadangkala menggunakan alamat pengirim yang nampaknya sah untuk meningkatkan kredibiliti.

Mengapa Kempen Ini Penting

SORVEPOTEL menggambarkan trend di mana penyerang mengeksploitasi platform komunikasi arus perdana untuk melipatgandakan jangkauan dengan interaksi pengguna yang minimum. Dengan mempersenjatai kenalan yang dipercayai dan kemudahan WhatsApp Web, perisian hasad mencapai penyebaran sisi yang pantas merentasi organisasi tanpa memerlukan komponen kecurian data yang canggih.

Nota Penutup

SORVEPOTEL ialah peringatan bahawa platform sosial ialah saluran penyebaran yang menarik untuk perisian hasad. Pengesanan pantas, pendidikan pengguna dan kawalan yang mengehadkan pelaksanaan skrip dan memantau pelanggan pemesejan pada desktop akan mengurangkan secara material permukaan serangan yang dieksploitasi oleh kempen ini.