En plena escalada del conflicto entre Irán e Israel, los investigadores de la firma de ciberseguridad Lookout han identificado cuatro nuevas muestras de malware DCHSpy, una avanzada herramienta de vigilancia móvil dirigida a dispositivos Android con apps como WhatsApp. Este spyware, atribuido al grupo iraní MuddyWater —vinculado al Ministerio de Inteligencia y Seguridad de Irán (MOIS)—, es capaz de recopilar y exfiltrar una amplia gama de datos sensibles de los teléfonos infectados, desde registros de llamadas hasta mensajes de WhatsApp, pasando por grabaciones de audio ambiente o fotografías.
La aparición de estas muestras poco después de estallar las hostilidades resalta un patrón bien conocido entre los actores de amenazas patrocinados por Estados: el uso de ciberarmas como respuesta al contexto geopolítico.
¿Qué es DCHSpy?
DCHSpy es un implante modular que funciona como spyware de vigilancia encubierta. Su estructura permite adaptaciones rápidas y personalizadas, con módulos diseñados para tareas específicas como:
-
Recolección de cuentas registradas en el dispositivo
-
Exfiltración de contactos, SMS, archivos y fotos
-
Obtención de datos de geolocalización y registros de llamadas
-
Acceso al micrófono para grabaciones ambientales
-
Captura remota a través de la cámara del dispositivo
-
Intercepción de mensajes y archivos de WhatsApp
Según Lookout, este implante fue incorporado a sus sistemas de detección en 2024 y ha sido observado en campañas activas hasta fechas recientes, coincidiendo con episodios de represión interna en Irán y enfrentamientos regionales.
MuddyWater: espionaje con sello estatal
MuddyWater no es un desconocido en el panorama APT (amenazas persistentes avanzadas). A lo largo de la última década ha dirigido operaciones contra sectores clave como:Telecomunicaciones, defensa, industria petrolera y gasística o infraestructuras gubernamentales.
Y no solo en Oriente Medio, sino también en Asia, África, Europa e incluso América del Norte.
Las últimas variantes de DCHSpy parecen alinearse con esta lógica ofensiva, enfocándose en objetivos que el régimen iraní considera estratégicos o disidentes.
WhatsApp como objetivo prioritario
Una de las mejoras más notables de las nuevas muestras de DCHSpy es su capacidad ampliada para extraer información directamente desde WhatsApp. Esta plataforma de mensajería, ampliamente utilizada tanto en Irán como en el resto del mundo, representa un valioso objetivo para los espías digitales que buscan acceder a conversaciones privadas, archivos adjuntos y listas de contactos.
La extracción de estos datos no solo es masiva, sino que se realiza de forma sigilosa. El malware los comprime, cifra con contraseñas derivadas de los servidores C2 y los transmite mediante protocolos SFTP a servidores controlados por los atacantes.
El análisis de Lookout establece vínculos entre DCHSpy y otra familia de spyware móvil previamente identificada: SandStrike, descubierta por Kaspersky en 2022 y utilizada contra profesionales de la comunidad bahá’í. Ambos comparten elementos de infraestructura, como direcciones IP de comando y control (C2), así como la reutilización de herramientas de administración remota (RATs) basadas en PowerShell.
Las campañas también hacen uso de técnicas similares de distribución, como el envío de enlaces maliciosos a través de plataformas como Telegram, donde se promueven aplicaciones falsas que, en realidad, contienen el malware.
Ingeniería social con temática de StarLink
La distribución del malware se ha sofisticado. En medio de los recientes apagones de internet en Irán —impuestos por el gobierno tras los ataques israelíes—, las nuevas muestras de DCHSpy utilizan señuelos temáticos relacionados con StarLink, el servicio satelital de Elon Musk que prometía devolver la conectividad a los ciudadanos iraníes.
Una de las aplicaciones maliciosas detectadas llevaba el nombre starlink.vpn(1.3.0)-3012 (1).apk, simulando ser una aplicación legítima de VPN. Sin embargo, al ser instalada, desplegaba el implante espía.
Estas aplicaciones son distribuidas a través de canales de Telegram que se presentan como portales de VPN como “EarthVPN” o “ComodoVPN”, con mensajes en inglés y farsi de retórica anti-regimen, dirigidos a activistas, periodistas y disidentes.
Los sitios web que alojan estos APK maliciosos suelen tener un diseño simplista, pero incluyen información falsa como direcciones físicas en Canadá o Rumanía para dar una apariencia de legitimidad.
