SingCERT warnt: WhatsApp-Dateien mit .exe, .iso und .zip meiden

Die Cybersicherheitsbehörde von Singapur hat gemeinsam mit dem dortigen Notfallteam SingCERT eine offizielle Warnung herausgegeben. Demnach nutzen Angreifer manipulierte Dateianhänge im Messenger-Dienst WhatsApp, um Schadprogramme einzuschleusen. Die bösartigen Dateien verschaffen den Angreifern weitreichenden Zugriff auf das betroffene Endgerät sowie auf die Browser-Schnittstelle WhatsApp Web.

Verbreitung über kompromittierte Konten und gefälschte Dokumente

Nach Angaben von SingCERT und der CSA vom 28. Oktober 2026 verbreitet sich die Malware über bereits gehackte WhatsApp-Konten. Die Angreifer tarnen die schädlichen Dateien als vermeintliche Geschäftsdokumente. Sobald eine betroffene Datei geöffnet wird, versendet sie sich automatisch an die im Adressbuch gespeicherten Kontakte weiter. Als auffällige und verdächtige Endungen nennen die Experten insbesondere Dateitypen wie .exe, .iso und .zip.

Die Folgen einer erfolgreichen Infektion sind erheblich: Die Behörden verweisen auf das Risiko eines vollständigen Gerätezugriffs, den Diebstahl sensibler Zugangsdaten, die gezielte Überwachung von Online-Banking-Aktivitäten sowie die Übernahme von WhatsApp Web.

Technische Merkmale und Indikatoren der Infektion

Das malaysische Computer-Notfallteam MyCERT führt konkrete technische Indikatoren auf, anhand derer sich ein Befall erkennen lässt. Dazu zählen die Ordnerpfade C:kouren oder C:cool auf dem System.

Wer sein Smartphone für Online-Banking oder WhatsApp nutzt, sollte die aktuellen Sicherheitsrisiken durch manipulierte Anhänge und Malware nicht unterschätzen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schutzmaßnahmen, mit denen Sie Ihr Gerät effektiv gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Zudem installiert der Systemprozess msiexec die Datei UEMSAgent.msi unter Verwendung der Parameter SERVER_ROOT_CRT=/DS_ROOT_CRT=. Weitere Merkmale sind Zertifikate mit dem Namen CN=ManageEngineCA im Trusted Root Store sowie ausgehende TCP-Verbindungen über den Port 8383.

Flankierend dazu dokumentierte der Mutterkonzern Meta Platforms zwei relevante Sicherheitslücken in verschiedenen Versionen des Messengers. Die Schwachstelle CVE-2026-23863, die mit einem CVSS-v3.1-Wert von 6,5 als mittel eingestuft ist, betrifft WhatsApp für Windows vor der Version 2.3000.1032164386.258709. Bei dieser Lücke maskiert ein NUL-Byte (0x00) im Dateinamen den tatsächlichen Dateityp.

So wird ein Anhang wie etwa Faktura_2026.pdfmalware.exe dem Empfänger fälschlicherweise als PDF-Dokument angezeigt, während das Windows-Betriebssystem beim Anklicken die ausführbare Datei startet.

Eine weitere Schwachstelle mit der Kennung CVE-2026-23866 weist einen CVSS-v3.1-Wert von 4,3 auf und betrifft WhatsApp für Android in den Versionen 2.25.8.0 bis 2.26.7.10 sowie für iOS in den Versionen 2.25.8.0 bis 2.26.15.72. Hierbei erlaubt eine unzureichende Prüfung von Webadressen bei KI-Vorschauen für Instagram Reels unerwünschte HTTP/HTTPS- oder Custom-URL-Scheme-Weiterleitungen.

Nach Angaben von Meta Platforms sowie der US-Datenbank NIST NVD liegen bislang keine Bestätigungen für eine aktive Ausnutzung dieser Schwachstellen vor. Beide erfordern für einen erfolgreichen Angriff die Interaktion des Nutzers und werden durch bereitgestellte Updates geschlossen.

Empfohlene Schutzmaßnahmen für Anwender

Die Sicherheitsexperten betonen, dass das einfache Löschen einer verdächtigen Nachricht nach dem Öffnen des Anhangs nicht ausreicht, um die Infektion zu stoppen. CSA und SingCERT raten daher dringend, unerwartete Anhänge grundsätzlich nicht zu öffnen und die Echtheit der Zusendung vorab telefonisch beim Absender zu erfragen.

Da ein veraltetes Betriebssystem eine der größten Schwachstellen für Cyberkriminelle darstellt, ist die regelmäßige Installation von System-Updates für die mobile Sicherheit unerlässlich. In diesem kostenlosen Report erfahren Sie, wie Sie Ihr Android-Gerät durch die richtige Update-Strategie rund um die Uhr vor Datenverlust schützen. Kostenlosen Sicherheits-Report jetzt herunterladen

Wurde ein Dateianhang bereits geöffnet, sollte das Gerät umgehend vom Netzwerk getrennt und einer vollständigen Sicherheitsprüfung unterzogen werden. Nutzer sollten zudem verknüpfte Geräte in WhatsApp überprüfen, bekannte Kontakte vor dem Vorfall warnen und die Zwei-Schritt-Verifikation aktivieren.

Sollten unautorisierte Banktransaktionen bemerkt werden, ist der Vorfall unverzüglich dem zuständigen Kreditinstitut zu melden. Diese Ratschläge decken sich mit den Empfehlungen von MyCERT, das ebenfalls zur Prüfung verknüpfter Geräte, zur Nutzung der Zwei-Schritt-Verifikation sowie zur sofortigen Meldung von finanziellem Betrug aufruft.