Una reciente investigación revelada por Kaspersky alertó sobre una nueva modalidad de ciberataque que utiliza la plataforma de mensajería instantánea WhatsApp como canal directo para distribuir malware. La amenaza se propaga a través de cuentas previamente comprometidas que envían archivos adjuntos falsos con apariencia de documentos administrativos cotidianos.
Esta táctica busca aprovechar la confianza habitual entre contactos para incrementar la probabilidad de que las víctimas abran el contenido malicioso sin levantar sospechas previa apertura.
La operación maliciosa ha sido identificada con presencia activa en la región de América Latina, afectando a usuarios que interactúan mediante aplicaciones informáticas. De acuerdo con el informe técnico divulgado por los especialistas, los atacantes operan principalmente mediante WhatsApp Web y la versión de escritorio conocida como WhatsApp Desktop. Al provenir de un hilo de conversación conocido, los mensajes logran evadir los filtros de precaución tradicionales de las personas afectadas.
Mecanismo de infección y ejecución técnica
El vector de entrada de esta campaña se basa en el lenguaje de programación VBScript, un tipo de archivo ejecutable capaz de procesar instrucciones automáticas en la computadora afectada. Una vez que la víctima interactúa con el adjunto, se activa una secuencia coordinada que crea un directorio de trabajo específico dentro de la carpeta de documentos públicos del sistema operativo.
Posteriormente, el script inicial inicia la recuperación de componentes adicionales alojados en una infraestructura externa controlada por los atacantes. Estos archivos secundarios son procesados mediante la herramienta nativa Windows Script Host, la cual facilita la descarga de un paquete comprimido que contiene software especializado para la administración y supervisión del equipo a distancia.
Estrategias de ingeniería social y camuflaje
La efectividad del ataque radica sustancialmente en el uso deliberado de la ingeniería social para engañar a los destinatarios. Los archivos adjuntos están diseñados para imitar comprobantes comerciales legítimos, presentándose bajo nombres alusivos a extractos bancarios, facturas de cobro, estados de cuenta o registros de pagos pendientes.
A fin de ampliar el alcance geográfico del fraude, los nombres de dichos documentos han sido localizados en múltiples idiomas, incluyendo inglés, portugués, francés, alemán y malayo. Asimismo, las muestras analizadas revelan metadatos y comentarios internos diseñados para simular actualizaciones legítimas de Microsoft Windows, una técnica pensada para pasar desapercibida ante revisiones superficiales.
Riesgos de control remoto y recomendaciones de protección
Aunque el software de gestión distribuido posee aplicaciones válidas en entornos corporativos de soporte técnico, su empleo no autorizado permite a los ciberdelincuentes tomar el control total del dispositivo. Con este nivel de acceso, los agresores pueden mantener presencia prolongada en el sistema, realizar desplazamientos dentro de la red o ejecutar nuevas acciones dañinas.
Ante este escenario, los expertos de la empresa emisora sugieren verificar la autenticidad de cualquier archivo no solicitado mediante un canal alternativo de comunicación antes de su apertura. Del mismo modo, se aconseja desconfiar sistemáticamente de adjuntos con extensiones ejecutables o de tipo script, tales como archivos .vbs o .exe, manteniendo especial atención sobre notificaciones financieras que carezcan de contexto previo.
