这两天经常用国外即时通讯软件跟海外客户、朋友沟通的跨境电商、外贸从业者或者留学生们可能要提高一百倍的警惕了。就在 2026 年 6 月 22 日国际知名安全机构卡巴斯基Kaspersky紧急曝光了一个正在全球疯狂蔓延的恶性网络攻击活动。黑客这次把黑手伸向了全球拥有数十亿用户的社交巨头——WhatsApp。最让人防不胜防的是这次的攻击手段极其阴险黑客不需要用花言巧语来骗你甚至不需要跟你说一句话。他们直接潜伏在你最信任的朋友、客户或合作伙伴的账号背后用他们的身份给你丢过一个“财务报表”文件。只要你随手一点你的电脑就已经变成了黑客的远程“肉鸡”目前全球已经有大批用户惨遭毒手其中马来西亚甚至占到了感染病例的 80%。这究竟是怎样一个披着“熟人外衣”的恐怖陷阱今天我们就来彻底扒开这个正在席卷全球的 WhatsApp 病毒大案。一、 诡异的“静默投递”连一句“在吗”都没有的生死文件普通的网络钓鱼黑客好歹还会冒充客服或者编瞎话对你威逼利诱。但这次由卡巴斯基安全实验室发现的黑客团伙走的是“极致的高冷路线”。根据受害者的反馈他们的 WhatsApp 会突然收到一条来自熟人、老客户或者好友的消息。打开一看对方一句话也没说没有寒暄没有解释只是孤零零地发过来一个文件附件。黑客精明就精明在他们完美利用了人与人之间的“信任红利”。你一看发信息的是天天跟你对账的客户或者是同组的同学你很自然地会认为“哦估计是他顺手把开会资料或者表格发过来了。”而这些文件的命名更是直戳打工人和商务人士的软肋财务报告.vbs账户报表.vbs未付账款清单.vbs为了把网撒得更宽黑客还贴心地准备了多国语言本地化定制版。除了中文、英文还有葡萄牙语、法语、德语、马来语等多个版本。根据受害者用什么语言沟通黑客就会自动投喂对应语言命名的文件。这一招“静默投递”让无数毫无戒备之心的用户啪嗒一下就把文件下载并双击打开了。二、 连环套内幕点开那秒钟你的电脑经历了什么这次攻击活动主要针对的是WhatsApp 桌面版电脑客户端和网页版的用户。因为手机系统通常无法直接运行这种电脑脚本但对 Windows 电脑来说这就是一场降维打击。当你双击那个看起来像文档、实际后缀是.vbsVBScript 脚本的文件时电脑后台的一场大地震就悄然爆发了。黑客的攻击过程被设计成了精密的“三步连环套”[第一步激活内鬼]用户双击 .vbs 文件Windows 脚本宿主WScript.exe在后台悄悄启动[第二步疯狂伪装]病毒调用系统自带的合法工具如 PowerShell、curl 等躲过杀毒软件偷偷下载第二阶段毒药[第三步反客为主]修改系统安全设置UAC在后台静默安装企业级远程控制软件黑客正式接管电脑第一套瞒天过海这个不到几百 KB 的小脚本里被黑客塞满了各种混淆技术。里面有大量毫无意义的垃圾代码、随机生成的古怪变量名、以及被拆得七零八落的字符串。杀毒软件扫描它时会觉得这只是一段写得比较烂的普通脚本从而大摇大摆地放行。第二套反客为主脚本一旦运行就会调用 Windows 电脑自带的合法程序比如curl.exe或certutil.exe神不知鬼不觉地在你的C:\Users\Public\Documents\目录下创建一个隐藏文件夹然后从黑客的服务器上下载一个 ZIP 压缩包。这个压缩包里包含两个恶意 VBScript 文件。其中一个最坏的动作是疯狂尝试修改你电脑的 UAC用户帐户控制设置。什么是 UAC就是平时你安装软件或运行重要程序时电脑屏幕突然一暗弹出来问你“是否允许此应用更改你的设备”的那个提示框。病毒会把这个提示级别强行调低。这意味着此后黑客在你的电脑里干任何坏事、装任何流氓软件你的电脑再也不会弹窗警告你了第三套合法控制最后病毒会使出它的终极杀招——静默安装一款名为ManageEngine Endpoint Central的软件。讽刺的是这根本不是什么病毒而是一款完全合法、正规的企业级远程终点管理平台。平时都是大公司的 IT 网管用来给员工电脑批量装软件、修电脑、提供远程技术支持的。黑客把这款正规软件的安装包和证书打包放进病毒里通过后台命令行默默运行。当它安装成功的那一刻黑客就摇身一变成了你电脑的“超级网管”。他们可以大摇大摆地坐在屏幕另一头看你的屏幕、偷你的密码、甚至转走你的财产而你和杀毒软件都以为这只是普通的“系统维护”。三、 谁是幕后黑手神秘的“中国风”注释在卡巴斯基对这起全球扩散的病毒案进行深度逆向分析时安全专家们发现了一个非常诡异的细节。在黑客编写的恶意 VBScript 代码底层竟然发现了大量用“简体中文”写的代码注释和备注。这是否意味着幕后黑手就是国内的某些黑客呢卡巴斯基在报告中给出了一个非常耐人寻味的“低置信度”评估他们认为这次攻击大概率并不是由讲中文的黑客干的。网络安全圈有一句老话叫“栽赃嫁祸是黑客的必修课”。很多国际黑客团伙在开发病毒时故意去开源社区抄一段带有中文注释的代码或者故意用翻译软件把注释翻译成中文丢进代码里目的就是为了混淆视听把安全人员的视线引向东方自己则在幕后数钱。目前这批黑客的管理服务器 IP 地址被发现此前曾与臭名昭著的ValleyRAT和Gh0st RAT灰产基础设施有关联全球受害者名单正在像滚雪球一样越来越大。四、 紧急自救海外聊天软件的生存法则网络社交带来的便利正在成为黑客手里的最强武器。面对这种利用“熟人信任”在 WhatsApp 上疯狂盲打的病毒我们该如何保全自己请立刻把以下“防毒三铁律”牢记在心1. 斩断对.vbs、.exe、.scr等脚本和可执行文件的信任在社交软件上熟人发来图片、PDF、Word 并不稀奇。但如果对方莫名其妙发来一个以.vbs结尾的文件不管他是谁哪怕是你亲妈也绝对不要去点开它正常人沟通交流是不会用到脚本文件的。2. 多渠道二次验证如果你在 WhatsApp 上收到了熟人发来的意外文件特别是没有任何文字解释的请立刻通过微信、电话或者视频跟对方说一句“你刚才是不是给我发文件了”相信我绝大多数情况下对方会一脸懵逼地告诉你“啊我没发啊我微信/外贸账号刚才好像被盗了”3. 企业网管注意排查进程如果你是公司的 IT 负责人请立刻监控公司内网电脑的运行情况。重点排查是否有员工电脑在未经授权的情况下私自启动了Endpoint Central代理UEMSAgent.msi或修改了系统的 UAC 提示策略。写在最后当信任被当成“代码”去黑这次 WhatsApp 爆发的 VBScript 病毒事件再次给我们敲响了警钟。现在的黑客已经不满足于去死磕那些固若金汤的系统漏洞了。他们发现攻击一个系统的漏洞远不如攻击“人性的漏洞”来得高效。他们盗取一个账号不是为了看里面的聊天记录而是为了继承这个账号主人生前积攒的所有“人际信任”。当这份信任变成黑客发射病毒的炮弹我们唯一能做的就是收起那份“因为是熟人所以无所谓”的粗心大意。