Malaysia warnt vor WhatsApp-Schadsoftware in ZIP-Dateien und gefälschten Finanzdokumenten

Schädliche Anhänge gefährden Smartphones und Computer

Die malaysische Kommunikationsaufsichtsbehörde hat vor verdächtigen ZIP-Dateien, Anhängen und Links gewarnt, die über WhatsApp verschickt werden. Sie könnten persönliche Daten offenlegen, unbefugten Zugriff ermöglichen und dazu führen, dass Nutzer die Kontrolle über ihre Konten verlieren. In einem Sicherheitshinweis vom 4. November 2026 heißt es, Kriminelle gäben sich als bekannte Personen oder vertrauenswürdige Organisationen aus, um Empfänger dazu zu bringen, Dateien zu öffnen oder Links aufzurufen.

Die Warnung betrifft eine Anwendung, die in Malaysia schätzungsweise 32,3 Millionen Nutzer hat, wie aus dem ursprünglichen Verbraucherhinweis hervorgeht. Diese Zahl beschreibt die mögliche Zielgruppe der Angriffe; wie viele Menschen von der aktuellen Kampagne betroffen sind, wurde nicht mitgeteilt.

Die Malaysian Communications and Multimedia Commission (MCMC) fordert Nutzer in ihrem auf der Website des Nationalen Sicherheitsrats veröffentlichten Sicherheitshinweis vom 4. November dazu auf, unerwartete Dateien bei den Absendern zu verifizieren, die Liste verknüpfter Geräte in WhatsApp zu überprüfen und ihnen unbekannte Verbindungen zu entfernen.

Das Risiko beschränkt sich nicht auf Smartphones. MyCERT, Malaysias Computer-Notfallteam, identifizierte schädliche Dateien, die als Rechnungen, Kontoauszüge, elektronische Abrechnungen und Zahlungsdokumente getarnt waren und die Empfänger auf Windows-Computern öffnen oder entpacken sollten. Auch die Nationale Cybersicherheitsbehörde (NACSA) warnte vor schädlichen Skripten, die über WhatsApp Web verbreitet werden.

Wer eine vermeintliche Rechnung von einem Kollegen oder ein Dokument von einem Verwandten erhält, muss die entscheidende Wahl treffen, bevor er den Anhang öffnet. Ein bekannter Name und ein vertrautes Profilbild können auch eine Nachricht begleiten, die über ein bereits von Kriminellen kontrolliertes Konto verschickt wird.

Wie sich die Warnungen entwickelten

Malaysias Cybersicherheitsbehörden veröffentlichten mehrere Warnungen, als sich der Fokus von scheinbar gewöhnlichen Dokumenten auf die darin verborgene Software verlagerte. Ihre Empfehlungen betreffen sowohl den Anhang selbst als auch die Möglichkeit, dass ein kompromittiertes Konto dazu genutzt wird, weitere Opfer zu kontaktieren.

• 29. Oktober: MyCERT warnte vor einer laufenden Kampagne in Malaysia, bei der über WhatsApp verbreitete schädliche Dateien als Finanz- und Zahlungsdokumente getarnt wurden.
• 4. November 2026: Die MCMC warnte vor verdächtigen ZIP-Archiven, Anhängen und Links und erläuterte Maßnahmen zum Schutz von Geräten und WhatsApp-Konten.
• 5. November: Die NACSA riet Nutzern, automatische Mediendownloads in WhatsApp und Telegram, auch in den Desktop-Versionen, zu deaktivieren, und warnte vor schädlichen .vbs-Dateien auf Windows-Geräten.
• 8. November: Die stellvertretende Kommunikationsministerin Teo Nie Ching forderte mehr digitale Kompetenz und beschrieb, wie ein schädlicher Anhang zum Datendiebstahl und zur weiteren Verbreitung an die Kontakte eines Opfers führen kann.

Die Warnungen beschreiben miteinander verbundene Wege auf Geräte: eine unerwartete Nachricht, ein scheinbar nützliches Dokument und die Aufforderung, etwas zu öffnen. Die darin enthaltene Software kann dann Informationen stehlen, Angreifern Fernzugriff verschaffen oder Kriminellen helfen, ein Konto zu übernehmen.

Wie eine Rechnung zum Einfallstor für einen Computer werden kann

Die Analyse von MyCERT ergab, dass Programme in ZIP-Archiven Schadsoftware installieren können, die eine Fernsteuerung von Windows-Computern ermöglicht. Eine ZIP-Datei ist ein Container, der mehrere Dateien bündelt, damit sie sich leichter verschicken lassen. Darin können Dokumente, Programme oder Skripte enthalten sein.

Die Warnung der NACSA konzentrierte sich auf .vbs-Dateien, die als Finanz- oder Rechtsdokumente ausgegeben wurden. Eine .vbs-Datei enthält Anweisungen, die Windows ausführen kann. Werden schädliche Anweisungen ausgeführt, können Angreifer den Computer kontrollieren und dort gespeicherte vertrauliche Informationen abrufen.

Die NACSA warnte außerdem vor unerwarteten Dateien mit den Endungen .apk, .zip, .iso und .exe. Eine APK-Datei ist ein Installationspaket für eine Android-Anwendung, eine EXE-Datei kann ein Windows-Programm ausführen und eine ISO-Datei ist ein Datenträgerabbild, das Software enthalten kann. Diese Formate werden auch für legitime Zwecke verwendet. Daher sind der Absender, der Zweck der Datei und die Frage, ob sie erwartet wurde, entscheidend.

Die unmittelbarste Schutzmaßnahme besteht darin, einen verdächtigen Anhang nicht zu öffnen und den vermeintlichen Absender anzurufen. Wer eine Datei über einen vertrauenswürdigen Kommunikationsweg bestätigt, kann herausfinden, dass die betreffende Person sie gar nicht verschickt hat.

Ein vertrauter Kontakt kann den Angriff weitertragen

Teo Nie Ching, stellvertretende Kommunikationsministerin und Parlamentsabgeordnete für Kulai, beschrieb einen möglichen Ablauf, bei dem eine schädliche ZIP-Datei zunächst Daten auf einem Computer offenlegt und später dazu beiträgt, den Angriff über WhatsApp weiterzuverbreiten.

Malware wird beispielsweise inzwischen häufig über ZIP-Dateien verbreitet. Vielleicht erhalten Sie eine solche Datei über WhatsApp von einem Freund, der Sie bittet, sie auf Ihrem Computer zu öffnen.

Teo sagte, die Folgen könnten sich nach dem Öffnen der Datei weiterentwickeln:

Sobald die Datei geöffnet wurde, können Daten auf Ihrem Computer gestohlen werden. Vielleicht wird zwei Wochen später Ihr WhatsApp-Konto gehackt und dieselbe Datei an all Ihre Kontakte verschickt.

Die zwei Wochen in ihrem Beispiel stehen für eine mögliche Verzögerung. Das Opfer nutzt den Computer und schreibt weiterhin mit seinen Kontakten, während ein Angreifer Informationen sammelt oder den Missbrauch des Kontos vorbereitet.

Auch Siraj Jalil, Präsident der Malaysian Cyber Consumer Association, warnte, dass die weite Verbreitung von WhatsApp und das Vertrauen in Nachrichten von bekannten Kontakten die Anwendung für Kriminelle attraktiv machten. Wer ein Konto übernimmt, kann sich gegenüber Verwandten, Kollegen und Gruppenmitgliedern unter einer glaubwürdigen Identität melden.

Die MCMC rät Personen, die eine Kompromittierung ihres Kontos vermuten, ihre Kontakte unverzüglich zu informieren. So kann die Angriffskette unterbrochen werden, indem Empfänger gewarnt werden, unerwartete Dateien oder Aufforderungen vom betroffenen Konto zu ignorieren.

Was Angreifer stehlen könnten

Dr. Shafiza Mohd Shariff, stellvertretende Dekanin für akademische und technologische Angelegenheiten am Malaysian Institute of Information Technology der Universiti Kuala Lumpur, sagte, Schadsoftware könne Tastatureingaben aufzeichnen, Passwörter und andere Anmeldedaten sammeln, auf gespeicherte Informationen zugreifen und Aktivitäten mit Finanzanwendungen überwachen.

Beim Aufzeichnen von Tastatureingaben werden Buchstaben, Zahlen und Befehle erfasst, während eine Person sie eingibt. So können Anmeldedaten offengelegt werden, selbst wenn Nutzer sie auf einer echten Website oder in einer legitimen Anwendung eingeben. Fernzugriff birgt eine weitere Gefahr: Jemand außerhalb der Wohnung oder des Arbeitsplatzes könnte das infizierte Gerät bedienen.

Shafiza sagte, Angreifer könnten auch Nachrichten mit Transaktionsautorisierungscodes (TAC) auf ihre eigenen Smartphones umleiten, wenn Dienste diese Form der Verifizierung noch verwenden. Ein TAC ist ein Code zur Freigabe einer Transaktion. Kriminelle, die sowohl Anmeldedaten als auch einen Freigabecode erlangen, können möglicherweise Zahlungen autorisieren.

Siraj warnte, Kriminelle könnten Einmalpasswörter abfangen, WhatsApp-Konten übernehmen, um Kontakte zu täuschen, oder Telefonnummern, Dokumente, Fotos und andere Informationen zum Verkauf auslesen. Auch Spyware kann eingesetzt werden, um ein Gerät und dessen Besitzer zu überwachen.

Die gefährdeten Informationen gehen somit weit über ein einzelnes Bankkonto hinaus. Auf einem Smartphone oder Computer können private Familieninhalte, berufliche Unterlagen und Kontaktdaten anderer Personen gespeichert sein. Wird ein Konto missbraucht, um Anhänge weiterzuverbreiten, geraten diese Kontakte als Nächste ins Visier.

Das Risiko verringern, bevor eine unerwartete Datei eintrifft

Die NACSA riet Nutzern, automatische Mediendownloads in WhatsApp und Telegram auf Smartphones und Computern auszuschalten. So behalten sie besser die Kontrolle darüber, was auf ihre Geräte gelangt. Anhänge müssen weiterhin geprüft werden, bevor Nutzer sie herunterladen, entpacken oder ausführen.

Für WhatsApp auf Android und iPhone verwies die NACSA auf die Einstellungen für Speicher und Daten und empfahl, automatische Downloads, sofern diese Option verfügbar ist, auf „Nie“ zu setzen. Bei WhatsApp Web und der Desktop-Anwendung verwies sie auf die Einstellungen für Chats und automatischen Mediendownload.

Telegram-Nutzer wurden auf die Einstellungen für Daten und Speicher auf Mobilgeräten sowie auf die erweiterten Einstellungen in der Desktop-Anwendung verwiesen. Die Bezeichnungen der Menüpunkte können je nach Anwendungsversion und Betriebssystem variieren.

Die MCMC empfiehlt außerdem, Betriebssysteme, Anwendungen und Sicherheitssoftware auf dem neuesten Stand zu halten. Shafiza riet dazu, auf Mobilgeräten einen aktiven Virenschutz zu verwenden, der schädliche Dateien erkennen und in Quarantäne verschieben kann. Bei der Quarantäne wird eine verdächtige Datei isoliert, damit sie nicht normal ausgeführt werden kann.

Siraj warnte davor, Anwendungen aus inoffiziellen Quellen zu installieren, insbesondere raubkopierte APKs, die kostenlosen Zugang zu kostenpflichtigen Streamingdiensten versprechen. Außerdem riet er dazu, Anwendungsberechtigungen zu überprüfen und nur Zugriff auf Informationen zu erlauben, die für die jeweilige Funktion erforderlich sind. Eine Anwendung, die Zugriff auf Nachrichten, Kontakte oder Dateien verlangt, sollte besonders kritisch geprüft werden, wenn diese Berechtigungen nicht zu ihrem Zweck passen.

Das WhatsApp-Konto ebenso schützen wie das Gerät

Die MCMC empfiehlt, die Verifizierung in zwei Schritten für WhatsApp zu aktivieren und Verifizierungscodes, Sicherheits-PINs und Passwörter geheim zu halten. Die Verifizierung in zwei Schritten ergänzt die Registrierung des Kontos um eine PIN und schafft so eine weitere Hürde für Personen, die es übernehmen wollen.

Siraj riet dazu, eine E-Mail-Adresse für die Kontowiederherstellung zu hinterlegen. Außerdem verwies er auf Passkeys, biometrische Authentifizierung und Authentifizierungs-Apps als zusätzliche Schutzmaßnahmen, sofern sie unterstützt werden. Ein Passkey nutzt das Sicherheitssystem eines Geräts zur Authentifizierung; bei biometrischen Prüfungen werden Merkmale wie ein Fingerabdruck oder das Gesicht verwendet.

Die Liste verknüpfter Geräte in WhatsApp sollte regelmäßig geprüft werden, denn sie zeigt, welche anderen Geräte mit einem Konto verbunden sind. Die MCMC rät, unbekannte Einträge zu entfernen. Wer nur das Smartphone in der Hand kontrolliert, könnte sonst einen Zugriff über einen verbundenen Computer übersehen.

Konten- und Geräteschutz sichern unterschiedliche Bereiche ab. Eine Verifizierungs-PIN schützt die Registrierung des Kontos, während Updates, ein vorsichtiger Umgang mit Dateien und Schadsoftwareprüfungen das verwendete Smartphone oder den Computer schützen. Beides ist nötig, weil Kriminelle auf beiden Wegen angreifen können.

Siraj riet außerdem dazu, unbekannte WLAN-Netze und ungesicherte Verbindungen zu meiden. Bei der von MyCERT und der NACSA beschriebenen Kampagne mit Anhängen sind die unmittelbarsten Schutzmaßnahmen, den Absender zu verifizieren und unerwartete Dateien nicht auszuführen.

Was nach dem Öffnen eines verdächtigen Anhangs zu tun ist

Die MCMC rät allen, die eine verdächtige Datei ausgeführt haben und eine Infektion ihres Geräts vermuten, die Internetverbindung zu trennen, eine Sicherheitsprüfung durchzuführen und zugehörige Passwörter über ein anderes vertrauenswürdiges Gerät zu ändern. Die NACSA gibt ähnliche Empfehlungen und rät dazu, technische Hilfe in Anspruch zu nehmen.

Es ist wichtig, die Passwörter über ein separates, sicheres Smartphone oder einen anderen Computer zu ändern, denn Schadsoftware auf dem betroffenen Gerät könnte neu eingegebene Zugangsdaten abfangen. Wird das Gerät vom Internet getrennt, ist auch seine Netzwerkverbindung unterbrochen, während der Nutzer Hilfe sucht und den Schaden einschätzt.

Siraj nannte als Warnzeichen einen ungewöhnlich schnellen Akkuverbrauch, Überhitzung, fehlerhafte Funktionen, Probleme beim Empfang von SMS-Nachrichten und wiederholtes Ausbleiben angeforderter Einmalpasswörter. Besonders nach der Installation einer unerwarteten Anwendung oder dem Öffnen eines Anhangs sollten solche Symptome untersucht werden.

Wer eine Kompromittierung des Bankkontos vermutet oder durch einen Betrug Geld verloren hat, sollte sich unverzüglich unter der Nummer 997 an Malaysias National Scam Response Centre wenden und die betreffende Bank informieren. Eine Benachrichtigung über eine vom Kunden nicht veranlasste Transaktion erfordert den sofortigen Kontakt mit der Bank, damit die Karte und der Onlinebanking-Zugang gesperrt werden können.

Verstöße gegen den Schutz personenbezogener Daten können dem Department of Personal Data Protection gemeldet werden. Siraj riet außerdem dazu, betroffene Konten zu sichern und einen Werksreset in Erwägung zu ziehen. Dabei wird ein Smartphone auf seine ursprünglichen Einstellungen zurückgesetzt und lokal gespeicherte Anwendungen und Daten werden entfernt. Technische Unterstützung kann bei der Wiederherstellung helfen, wenn das Ausmaß der Kompromittierung unklar ist.

Warum öffentliche Aufklärung und Kontrollen am Arbeitsplatz wichtig sind

Teo sagte, die Regierung und die MCMC könnten nicht jede WhatsApp-Nachricht vor dem Versand prüfen. In ihrer Warnung stellt sie alltägliche Entscheidungen in den Mittelpunkt der Prävention, etwa ob man einem Dokument vertraut und eine Aufforderung überprüft.

Sie sagte, die Statistiken zu Online-Betrugsmeldungen zeigten, dass es beim E-Commerce-Betrug die meisten Beschwerden gab, während Anlagebetrug die höchsten finanziellen Verluste verursachte. Der Vergleich verweist auf zwei unterschiedliche Aspekte: die Zahl der Menschen, die Probleme melden, und die Höhe der Verluste, die Opfer erleiden.

Auch Unternehmen und Organisationen sind gefordert, denn die von MyCERT beschriebenen schädlichen Dokumente ähneln gewöhnlicher Finanzkorrespondenz. Eine Zahlungsdatei, die auf einem Arbeitscomputer geöffnet wird, kann neben den persönlichen Konten des Mitarbeiters auch Unternehmensdaten gefährden.

Teo forderte Organisationen auf, regelmäßig Cybersicherheitsaudits durchzuführen, insbesondere bei Systemaktualisierungen oder der Einführung neuer Technologien. Sie bezeichnete die NACSA als zuständig für Fragen der nationalen Cybersicherheit; die MCMC könne Unterstützung und technische Hilfe leisten. Für Nutzer zählt vor allem, sofort zu handeln: unerwartete Dokumente zu überprüfen, verbundene Geräte zu schützen und schnell zu reagieren, wenn Geld oder der Kontozugriff gefährdet sind.

Die wichtigsten Punkte

• Die Warnung der MCMC vom 4. November 2026 betrifft verdächtige WhatsApp-ZIP-Dateien, Anhänge und Links, über die Daten offengelegt und Konten übernommen werden können.
• MyCERT identifizierte schädliche Finanz- und Zahlungsdokumente, die auf Windows-Computer zielen. Die NACSA warnte vor .vbs-Skripten, die über WhatsApp Web verbreitet werden.
• Unerwartete Dateien durch einen Anruf beim Absender überprüfen, automatische Downloads deaktivieren und Geräte sowie Sicherheitssoftware auf dem neuesten Stand halten.
• Die Verifizierung in zwei Schritten aktivieren, Verifizierungscodes geheim halten und unbekannte Einträge aus der Liste verknüpfter Geräte in WhatsApp entfernen.
• Wurde eine verdächtige Datei ausgeführt, das Gerät vom Internet trennen und Passwörter über ein anderes vertrauenswürdiges Gerät ändern. Bei gefährdetem Bankzugang oder drohendem Geldverlust sofort die Bank kontaktieren und die Nummer 997 anrufen.