Microsoft alerte sur une campagne VBS avec bypass UAC

Microsoft Defender Security Research Team a publié début avril 2026 une alerte concernant une campagne sophistiquée utilisant WhatsApp comme vecteur de distribution initial. Les attaquants envoient des fichiers Visual Basic Script via des messages directs, en s'appuyant sur de l'ingénierie sociale pour inciter les victimes à les exécuter ; la campagne, active depuis fin février 2026, combine ingénierie sociale et méthodes living-off-the-land pour échapper à la détection. Une fois le script VBS initial exécuté, la chaîne d'infection télécharge des payloads secondaires depuis des services cloud légitimes, AWS S3, Tencent Cloud et Backblaze B2, en utilisant des binaires Windows légitimes renommés pour masquer le trafic réseau. L'objectif final est l'installation de packages MSI malveillants assurant la persistance et l'accès distant, dans une chaîne d'infection que Microsoft qualifie de sophistiquée.

Les faits

Microsoft Defender Security Research Team a publié début avril 2026 une alerte concernant une campagne sophistiquée utilisant WhatsApp comme vecteur de distribution initial. Les attaquants envoient des fichiers Visual Basic Script (VBS) via des messages directs, en s'appuyant sur de l'ingénierie sociale pour inciter les victimes à les exécuter. La campagne, active depuis fin février 2026, combine des techniques de social engineering avec des méthodes living-off-the-land pour échapper à la détection.

Une fois le script VBS initial exécuté, la chaîne d'infection télécharge des payloads secondaires depuis des services cloud légitimes — AWS S3, Tencent Cloud et Backblaze B2 — en utilisant des binaires Windows légitimes renommés pour masquer le trafic réseau. L'objectif final est l'installation de packages MSI malveillants assurant la persistance et l'accès distant. Microsoft qualifie cette chaîne d'infection de « sophistiquée », combinant ingénierie sociale, techniques furtives et hébergement cloud.

Impact et exposition

Tout utilisateur Windows recevant des fichiers via WhatsApp Desktop est potentiellement ciblé. La particularité de cette campagne réside dans le contournement de l'User Account Control (UAC), ce qui permet aux attaquants d'escalader les privilèges sans déclencher la fenêtre de confirmation habituelle. Une fois les paramètres UAC affaiblis, le malware dispose d'un accès quasi-administrateur pour modifier le système, désactiver des protections et installer des composants supplémentaires. L'utilisation de services cloud légitimes comme infrastructure de staging complique la détection réseau.

Recommandations

• Ne jamais exécuter de fichiers VBS, JS ou scripts reçus via WhatsApp ou toute messagerie instantanée
• Activer la politique de groupe « Toujours notifier » pour l'UAC et surveiller les modifications du registre HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem
• Bloquer l'exécution de scripts VBS/WSH via AppLocker ou Windows Defender Application Control (WDAC)
• Mettre à jour les signatures Microsoft Defender et vérifier la détection des IoC publiés par Microsoft