Kampania STAC3150 przez WhatsApp: phishing i Astaroth

Specjaliści Sophos wykryli zakrojoną na szeroką skalę kampanię złośliwego oprogramowania rozprzestrzenianą przez WhatsApp. Operacja, oznaczona jako STAC3150, działa od 24 września 2025 r. i dotknęła już ponad 250 użytkowników. Napastnicy trzymają infrastrukturę w ciągłym ruchu i często odświeżają zestaw narzędzi, przez co dla obrońców to cel, który nieustannie zmienia pozycję.

Atak zaczyna się od wiadomości phishingowej po portugalsku. Odbiorca jest zachęcany do otwarcia pliku „do jednorazowego podglądu”, lecz zamiast dokumentu otrzymuje archiwum ZIP. W środku znajdują się skrypty VBS lub HTA, które uruchamiają PowerShell i pobierają kolejne złośliwe moduły. Wabik jest prosty i bezpośredni, dzięki czemu łatwo wtapia się w codzienny ruch rozmów — to nie fajerwerki socjotechniki, lecz chłodna skuteczność.

Pod koniec września moduły komunikowały się z serwerami operatorów przez IMAP, wyciągając drugi etap ze specjalnie przygotowanych skrzynek pocztowych. Na początku października schemat się zmienił: pobrania zaczęły trafiać przez połączenie HTTP do domeny varegjopeaks[.]com. Stamtąd skrypty PowerShell i Pythona przejmują kontrolę, a z pomocą Selenium WebDriver i WPPConnect automatyzują przechwytywanie sesji WhatsApp Web. To otwiera drogę do kradzieży tokenów, kopiowania list kontaktów i automatycznego rozsyłania zainfekowanych archiwów ZIP do kolejnych osób — przejęte konta stają się nieświadomymi wzmacniaczami kampanii.

Pod koniec października kampania znów ewoluowała: napastnicy wprowadzili instalator MSI dostarczający bankowego trojana Astaroth (Guildma). Po instalacji tworzy on pliki pomocnicze, dodaje się do autostartu i uruchamia złośliwy skrypt AutoIt podszywający się pod zwykły plik .log. Jak podaje Sophos, większość wykrytych infekcji przypada na Brazylię, a taktyki zmieniają się w zawrotnym tempie — dokładnie w duchu szybkich zwrotów, które definiują tę kampanię.