Ciberdelincuentes explotan la confianza en WhatsApp para desplegar malware
Una sofisticada campaña de malware está poniendo en jaque a usuarios de WhatsApp a nivel global, incluyendo países como España y México. Los atacantes están utilizando cuentas previamente comprometidas para enviar mensajes a sus listas de contactos, adjuntando archivos maliciosos que se hacen pasar por documentos financieros legítimos.
¿Cómo funciona el ataque? El peligro de los archivos VBScript
El vector de ataque comienza con un mensaje de un contacto conocido —cuya cuenta ha sido hackeada— que contiene únicamente un archivo con extensión .VBS (VBScript). Estos archivos utilizan nombres de gran interés para el entorno corporativo, tales como:
- Reportes financieros.
- Facturas pendientes.
- Avisos de cuenta.
- Declaraciones de impuestos.
Para aumentar su efectividad, los nombres de los archivos están localizados en el idioma del receptor. Al abrir estos archivos en un sistema Windows, se inicia una cadena de infección silenciosa.
De un mensaje de chat al control remoto total
Una vez ejecutado, el script realiza modificaciones en el Registro de Windows para deshabilitar el Control de Cuentas de Usuario (UAC), lo que permite que el malware actúe con privilegios elevados sin alertar al usuario. El objetivo final es la instalación de ManageEngine Endpoint Central.
Es importante destacar que ManageEngine es una herramienta legítima de gestión de activos de TI. Sin embargo, en este contexto, los atacantes la configuran para que el PC de la víctima se conecte a sus propios servidores de mando y control (C2), otorgándoles acceso de administración remota total sobre el equipo infectado.
Contexto técnico y atribución
Según informes de Kaspersky, la ejecución es especialmente directa cuando se utiliza el cliente de WhatsApp Desktop, ya que el sistema puede ejecutar el archivo mediante wscript.exe. Aunque no hay una atribución definitiva, se han encontrado solapamientos de infraestructura con grupos que utilizan troyanos de acceso remoto (RAT) como ValleyRAT y Gh0st RAT, con indicios de origen en el sudeste asiático.
Recomendaciones de seguridad para empresas
Desde el equipo de ciberseguridad de Intedya, recordamos que la confianza en el remitente no garantiza la seguridad del archivo. Para mitigar este riesgo, recomendamos:
- Verificación por canal secundario: Si recibe un archivo inesperado por WhatsApp, confirme su autenticidad con el remitente mediante una llamada o correo electrónico antes de abrirlo.
- Desconfiar de extensiones inusuales: Los documentos de oficina suelen ser .pdf, .docx o .xlsx. Evite ejecutar archivos .vbs, .exe, .bat o .js recibidos por mensajería.
- Fortalecimiento del Endpoint: Asegúrese de que sus soluciones antivirus y EDR estén actualizadas para detectar scripts ofuscados y comportamientos anómalos en el registro.
- Concienciación: La formación en ingeniería social es la primera línea de defensa para evitar que los empleados se conviertan en la puerta de entrada a la red corporativa.
Fuentes
- Bleeping Computer — WhatsApp phishing attack uses fake business docs to hack PCs
https://www.bleepingcomputer.com/news/security/whatsapp-phishing-attack-uses-fake-business-docs-to-hack-pcs/