Una campaña de malware está utilizando cuentas de WhatsApp comprometidas para enviar archivos maliciosos a los contactos de las víctimas. Los mensajes incluyen documentos falsos relacionados con facturas, informes financieros, avisos de cuentas o gestiones empresariales, pero en realidad contienen scripts diseñados para abrir la puerta al control remoto del ordenador.
La campaña ha sido detectada en varios países, entre ellos España, Reino Unido, Brasil, India, México, Singapur, Taiwán, Australia, Rusia, Vietnam y Malasia. Según datos de la empresa de ciberseguridad Kaspersky, los atacantes aprovechan la confianza existente entre los contactos de WhatsApp para aumentar las posibilidades de que el archivo sea descargado y ejecutado.
El principal peligro es que el mensaje procede de una cuenta conocida. El destinatario puede pensar que se trata de un documento real enviado por un compañero, cliente, proveedor, amigo o familiar, cuando en realidad la cuenta ha sido tomada por los atacantes.
Archivos que parecen documentos financieros
Los mensajes maliciosos contienen un archivo VBScript, identificado por la extensión .vbs. Este tipo de archivo puede ejecutar instrucciones en Windows mediante Windows Script Host.
Para engañar a los usuarios, los ciberdelincuentes utilizan nombres que hacen pensar en documentos importantes. Los archivos pueden presentarse como informes de pagos, extractos de facturación, notificaciones bancarias, estados de cuentas o documentación relacionada con una empresa.
Los nombres también se adaptan a diferentes idiomas, una señal de que la campaña está diseñada para llegar a víctimas de distintos países.
El archivo está fuertemente ofuscado, lo que significa que su código ha sido modificado para dificultar su análisis y evitar que las herramientas de seguridad reconozcan fácilmente su verdadera función.
Las cuentas comprometidas envían el malware a sus contactos
Kaspersky señala que los atacantes habrían conseguido acceder a varias cuentas de WhatsApp y las estarían utilizando para distribuir el archivo malicioso entre sus contactos.
Esta estrategia permite que el mensaje parezca más creíble. Las personas suelen bajar la guardia cuando reciben un archivo desde un número conocido, especialmente si el nombre del documento encaja con su actividad profesional o financiera.
Por el momento, no se conoce con exactitud cómo consiguieron los ciberdelincuentes tomar el control de las cuentas de WhatsApp. Entre las posibilidades habituales se encuentran el robo de códigos de verificación, el phishing, la vinculación fraudulenta de nuevos dispositivos o el secuestro de sesiones abiertas.
La campaña puede seguir expandiéndose si las nuevas víctimas pierden el acceso a sus cuentas y estas comienzan a enviar los mismos archivos a más contactos.
Qué ocurre cuando se abre el archivo
Si la víctima descarga y ejecuta el archivo en un ordenador con Windows, comienza una cadena de infección.
El VBScript se conecta con la infraestructura de los atacantes y descarga otros dos scripts. Estos modifican el Registro de Windows para reducir las protecciones del Control de cuentas de usuario, conocido como UAC.
Después, el malware descarga un archivo comprimido que contiene ManageEngine Endpoint Central, una herramienta legítima utilizada por administradores informáticos para gestionar ordenadores desde un panel centralizado.
El problema no está en el programa en sí, sino en la forma en la que se instala y configura. Los atacantes lo despliegan de manera silenciosa y lo conectan a servidores de administración bajo su control.
A partir de ese momento, pueden gestionar el equipo de forma remota, ejecutar acciones y acceder al sistema como si fueran sus administradores.
Una herramienta legítima convertida en arma
ManageEngine Endpoint Central se utiliza normalmente en empresas para instalar programas, aplicar actualizaciones, configurar dispositivos y solucionar problemas a distancia.
Sin embargo, estas mismas funciones pueden resultar muy peligrosas cuando el software queda conectado a la infraestructura de un atacante.
El uso de herramientas legítimas también ayuda a los ciberdelincuentes a pasar desapercibidos. Algunos sistemas de seguridad pueden considerar normal la presencia de este programa porque está firmado y es utilizado por organizaciones reales.
Esta técnica, conocida como abuso de herramientas legítimas, permite a los atacantes reducir la cantidad de malware personalizado que necesitan instalar y aprovechar programas que ya cuentan con funciones avanzadas de administración remota.
