WhatsApp 网页版/桌面版恶意软件预警（Windows）：巴基斯坦国家 CERT 通告 NCA-22.231026
巴基斯坦国家 CERT 发布了通告 NCA-22.231026，警告有针对性的钓鱼和恶意软件正通过 WhatsApp 网页版、WhatsApp 桌面版和电子邮件攻击 Windows 电脑。风险等级为“高”：被感染的系统可能被远程控制，凭证和文件可能被窃取，正在使用的 WhatsApp 网页版会话也可能被劫持用来冒充您。以下是通告的要点，以及您今天就能采取的防护措施。
来源：巴基斯坦国家 CERT 通告 NCA-22.231026，发布于 pkcert.gov.pk/advisories。本文为通告摘要，官方指引请以原文为准。
通告说了什么
通告描述了一场针对政府官员及其他高价值用户的定向攻击。攻击者冒充官员、部门或可信联系人，发送带有恶意代码的文档、压缩包、脚本或可执行文件。一旦打开，攻击者就可能长期控制这台 Windows 电脑，以及其上运行的 WhatsApp 网页版会话。该通告属于预防性质，并说明未提供针对本次行动的具体威胁指标，例如已确认的攻击者域名或文件哈希。
谁是攻击目标
通告列明的范围包括政府机构、监管机构、公共部门组织、高级官员和敏感信息处理人员。不过这些手法十分常见，在 Windows 上使用 WhatsApp 网页版或桌面版的企业和个人，也应借此机会提高警惕。
设备被入侵会怎样
- 未授权访问、持久性恶意软件，以及对 Windows 系统的远程控制
- 凭证、机密文件和通信内容被窃取
- WhatsApp 被劫持、被冒充，并进一步攻击您的联系人或所在机构
需要留意的预警信号
- 意外或催促性的消息、异常文件，即使来自熟人
- 要求启用宏或运行脚本，以及终端安全软件的告警
- WhatsApp“已关联的设备”中出现陌生设备、出现并非您发送的消息、异常登录或数据传输
通告列举的示例文件名包括 Official_Document_Update.exe 和 Urgent_Notice.iso。无论文件叫什么名字，通过聊天或邮件收到的意外可执行文件、ISO 镜像和压缩包都应视为可疑。
现在就该做的事
- 不要打开未经核实的链接或文件。对异常请求，请通过另一个渠道向发送者确认，即使消息看起来来自您信任的人。
- 绝不要分享密码、一次性验证码（OTP）或认证码。
- 在手机上检查 WhatsApp“已关联的设备”，退出所有不认识的设备。
- 开启 WhatsApp 两步验证，并为其他账户启用多因素认证。
- 限制在 Windows 上使用 WhatsApp 网页版和桌面版。通告建议官员和敏感信息处理人员避免使用，机构在政策允许时也应在办公系统上限制使用。不要通过其他渠道把 WhatsApp 文件传到办公电脑。
- 及时更新 Windows、浏览器和软件，保持正规的杀毒或 EDR 软件运行，不要启用来历不明的宏。
- 今天就通知员工，尤其是管理员和接触敏感数据的人员。
如果怀疑已被入侵
- 让该 Windows 设备断开网络和互联网。
- 用可信的手机结束未经授权的 WhatsApp 会话。
- 保留消息、附件信息、时间戳和日志，不要再次打开可疑内容。
- 向 IT/安全团队报告，并通过事件报告门户或邮箱 cert@pkcert.gov.pk 报告给巴基斯坦国家 CERT。
- 在安全团队指导下，使用确认干净的设备重置密码。
同时保护好您的网站和业务账户
一台被劫持的电脑可能暴露主机、域名和邮箱的登录信息。请确保有最新备份（参见如何备份您的网站），保持服务器软件更新（请阅读近期 PHP 严重安全更新），并参考我们的网站安全基础。Edish 还提供 DDoS 防护和网络安全服务。
常见问题
国家 CERT 通告 NCA-22.231026 是什么？
这是巴基斯坦国家 CERT 发布的高风险预防性通告，警告有针对性的钓鱼和恶意软件正通过 WhatsApp 网页版、WhatsApp 桌面版和电子邮件攻击 Windows 系统。恶意文件可导致远程控制、凭证窃取和数据外泄，并可能暴露正在使用的 WhatsApp 网页版会话。
这次 WhatsApp 恶意软件攻击主要针对谁？
通告称目标是政府机构、监管机构、公共部门组织、高级官员以及处理敏感信息的人员。但凡在 Windows 上使用 WhatsApp 网页版或桌面版的用户，都应采取同样的防范措施。
如何检查是否有人在使用我的 WhatsApp？
在手机上打开 WhatsApp，进入“已关联的设备”，退出所有不认识的会话或设备，然后开启两步验证。
如果我打开了可疑文件该怎么办？
立即让该 Windows 设备断开网络，用可信手机结束未知会话，保留消息和日志但不要再次打开文件，并向 IT/安全团队和巴基斯坦国家 CERT 报告。
需要帮助加固您的主机、邮箱或网站安全？欢迎联系 Edish 团队。
