WhatsApp se convirtió en un nuevo canal para que los ciberdelincuentes distribuyan malware mediante mensajes que parecen provenir de contactos conocidos. Kaspersky detectó una campaña que utiliza cuentas previamente comprometidas para enviar archivos falsos relacionados con facturas, pagos, extractos bancarios o avisos de deuda, una estrategia que busca aprovechar la confianza del usuario para aumentar las probabilidades de que abra el archivo malicioso. La amenaza también fue detectada en América Latina.
La investigación fue realizada por el Equipo Global de Investigación y Análisis (GReAT) de Kaspersky, que identificó que los atacantes utilizan WhatsApp Web y WhatsApp Desktop para distribuir los archivos desde conversaciones legítimas. Al llegar desde un contacto conocido, el mensaje genera menos sospechas y aumenta la efectividad del ataque.
Cómo funciona el malware
El archivo malicioso utiliza VBScript, un tipo de script capaz de ejecutar instrucciones automáticamente cuando el usuario lo abre. A partir de ese momento, inicia una cadena de acciones que descarga nuevos componentes desde infraestructura externa e instala herramientas que permiten el acceso remoto al equipo comprometido. Ese acceso puede ser utilizado para controlar el dispositivo, desplazarse por el sistema o ejecutar nuevas acciones maliciosas.
La campaña se apoya principalmente en ingeniería social. Los archivos están diseñados para parecer documentos habituales dentro del ámbito empresarial, como facturas, estados de cuenta, comprobantes de pago o avisos de deuda. Además, los investigadores encontraron versiones con nombres en distintos idiomas, entre ellos inglés, portugués, francés, alemán y malayo, lo que evidencia el alcance internacional de la operación.
Los especialistas también detectaron que algunas muestras incorporan comentarios y metadatos que imitan componentes de Microsoft Windows Update, una técnica destinada a reducir las sospechas del usuario y dificultar la detección del archivo malicioso.
El riesgo de confiar en un mensaje cotidiano
Según el análisis técnico, al ejecutar el archivo se crea un directorio de trabajo en el sistema, se descargan nuevos componentes y finalmente se instala un software de supervisión y gestión remota. Aunque este tipo de herramientas tiene usos legítimos en entornos corporativos, en manos de ciberdelincuentes puede convertirse en una puerta de entrada para tomar control del equipo sin autorización.
“Lo más preocupante de esta campaña no es solo el uso de WhatsApp como canal de distribución, sino la forma en que los atacantes convierten una conversación cotidiana en una puerta de entrada al dispositivo. Cuando el archivo llega desde una cuenta conocida, la primera barrera de defensa del usuario, la desconfianza, se debilita”, explicó Fabio Assolini, Lead Security Researcher de GReAT para América Latina en Kaspersky.
El especialista agregó que este tipo de ataques demuestra cómo el crimeware está migrando desde los tradicionales correos sospechosos hacia plataformas donde las personas interactúan con mayor naturalidad y menos prevención. “Para las organizaciones y los usuarios, el riesgo está en que un documento que parece rutinario, como una factura o un comprobante de pago, puede terminar habilitando el acceso remoto al equipo y abrir la puerta a robo de información, movimientos laterales o nuevas infecciones”, advirtió.
Cómo protegerse de este tipo de ataques
Los especialistas recomiendan adoptar algunas medidas básicas para reducir el riesgo de infección:
- Desconfiar de archivos inesperados, incluso cuando provengan de contactos conocidos.
- Confirmar por otro canal si el remitente realmente envió el documento antes de abrirlo.
- Evitar ejecutar archivos de tipo script o ejecutables, como
.vbs,.vbe,.exe,.bat,.cmd,.jso.ps1, salvo que su origen haya sido verificado. - Revisar cuidadosamente el nombre de los archivos, especialmente si hacen referencia a facturas, pagos, extractos bancarios o avisos de deuda.
- Utilizar una solución de seguridad capaz de detectar y bloquear archivos maliciosos antes de que comprometan el equipo.
Preguntas frecuentes
¿Cómo se propaga este malware por WhatsApp?
Los atacantes utilizan cuentas de WhatsApp previamente comprometidas para enviar archivos maliciosos que aparentan ser documentos legítimos, aprovechando la confianza entre contactos.
¿Qué sucede si se abre el archivo?
El archivo ejecuta scripts que descargan nuevos componentes e instalan herramientas de acceso remoto, permitiendo que los ciberdelincuentes controlen el equipo infectado.
¿Cómo evitar caer en este tipo de engaños?
La principal recomendación es no abrir archivos inesperados, verificar con el remitente antes de hacerlo y contar con una solución de seguridad que pueda detectar amenazas antes de su ejecución.
