Tal van organisaties zijn met malware besmet geraakt nadat personeel malafide versies van PuTTY, Sumatra PDF Reader, TightVNC en muPDF via WhatsApp hadden gedownload, zo melden Microsoft en securitybedrijf Mandiant. De medewerkers in kwestie waren via LinkedIn benaderd door aanvallers die zich voordeden als recruiters voor tech-, media- en defensiebedrijven.

Zodra er via LinkedIn contact is gemaakt proberen de aanvallers het contact via WhatsApp voort te zetten. Vervolgens sturen de aanvallers het doelwit via WhatsApp een ISO- of ZIP-bestand dat aangepaste versies van PuTTY, Sumatra PDF Reader, TightVNC of muPDF bevat. Zo zou de aangeboden versie van PuTTY bijvoorbeeld nodig zijn voor het doen van een assessment en kan er via de aangepaste TightVNC Viewer verbinding met een bepaalde host worden gemaakt.

De aangepaste software functioneert naar behoren, maar installeert in de achtergrond ook een backdoor waarmee de aanvallers toegang tot het systeem krijgen. Vervolgens proberen de aanvallers zich lateraal door het netwerk van de organisatie te bewegen en allerlei informatie van de gecompromitteerde netwerken te stelen. Microsoft stelt dat sinds juni van dit jaar tal van organisaties op deze manier zijn gecompromitteerd.

Volgens Microsoft en Mandiant zijn de aanvallen het werk van een uit Noord-Korea opererende en door de staat gesteunde groep die zich richt op financieel gewin, spionage, datadiefstal en sabotage. Microsoft adviseert organisaties om personeel te onderwijzen over het voorkomen van malware-infecties, waaronder het negeren of verwijderen van ongevraagde of onverwachte e-mails met ISO-bijlagen. Verder moet het gebruik van accounts met lokale of domeinbeheerdersrechten worden beperkt.