- El ataque utiliza ingeniería social mediante cuentas de WhatsApp comprometidas para enviar archivos .vbs disfrazados de documentos laborales.
- La cadena de infección emplea técnicas Living-off-the-Land para camuflarse usando herramientas legítimas de Windows y servicios en la nube.
- El objetivo final es obtener control remoto total del sistema mediante la desactivación del UAC y la instalación de software de gestión remota.
Imagínate que recibes un mensaje de un colega o un amigo de toda la vida por WhatsApp y, sin venir a cuento, te adjunta una factura o un estado de cuenta. Como confías en la persona, haces clic sin pensarlo dos veces. Pues bien, esa es exactamente la trampa en la que quieren que caigas los ciberdelincuentes en una reciente y agresiva campaña de malware que está azotando a usuarios de Windows en medio mundo.
Lo que parece un simple archivo adjunto es en realidad un caballo de Troya moderno. Este ataque no solo busca robarte un par de datos, sino que despliega una cadena de infección sofisticada diseñada para que un extraño tome las riendas de tu ordenador sin que te des cuenta, saltándose las protecciones habituales del sistema operativo mediante trucos muy rebuscados.
El engaño inicial y la psicología del ataque
La clave del éxito de esta operación reside en la ingeniería social. Los atacantes no envían spam al azar, sino que utilizan cuentas de WhatsApp previamente hackeadas. Esto significa que el archivo malicioso llega desde un contacto real, lo que hace que la víctima baje la guardia completamente. Los nombres de los archivos están cuidadosamente elegidos para parecer documentos rutinarios de oficina, como «Debt confirmation.vbs» o «FinancialReports.vbs».
Para ampliar su radio de acción, los delincuentes han localizado estos nombres en diversos idiomas, incluyendo español, portugués, alemán y malayo. De esta forma, han logrado infectar dispositivos en países tan diversos como España, México, Brasil, Malasia y Vietnam. El archivo, que suele tener la extensión .vbs (VBScript), es ejecutado por el Windows Script Host, permitiendo que el código malicioso se lance en el momento en que el usuario abre el documento.
Técnicas de sigilo: El arte de camuflarse en el sistema
Una vez que el usuario muerde el anzuelo, el malware no se presenta de forma evidente. Utiliza una estrategia llamada Living-off-the-Land (LotL), que consiste en abusar de herramientas que ya vienen instaladas en Windows para no levantar sospechas. Por ejemplo, el script crea carpetas ocultas en C:\ProgramData y descarga utilidades legítimas como curl.exe y bitsadmin.exe, pero las renombra como netapi.dll y sc.exe para que parezcan procesos normales del sistema.
A pesar de este cambio de nombre, los archivos mantienen sus metadatos originales (el campo OriginalFileName), lo cual es una pista fundamental para que los antivirus avanzados detecten la anomalía. Para evitar que los cortafuegos corporativos den la alarma, las cargas útiles secundarias se alojan en servicios de nube ultra conocidos como AWS S3, Tencent Cloud y Backblaze B2. Así, el tráfico de red parece una descarga rutinaria de la nube y no un ataque cibernético.
Escalada de privilegios y control total
El malware no se queda tranquilo y busca obtener el control absoluto del equipo. Para ello, comienza a atacar el Control de Cuentas de Usuario (UAC), que es básicamente el guardián que te pregunta si permites que un programa haga cambios. El código manipula el registro de Windows en la ruta HKLM\Software\Microsoft\Win, intentando ejecutar la consola de comandos (cmd.exe) con privilegios elevados una y otra vez hasta que lo consigue.
Con los permisos de administrador ya en el bolsillo, el atacante procede a la fase final: la instalación de paquetes MSI sin firma digital. Entre estos se encuentran versiones maliciosas de Setup.msi, WinRAR.msi y AnyDesk.msi. Al carecer de un certificado de editor confiable, estos archivos son una señal clara de peligro. Una vez instalado un software como AnyDesk, el hacker tiene una puerta abierta permanente para espiar tu actividad, robar archivos confidenciales o usar tu PC para lanzar nuevos ataques.
Cómo blindar tu equipo frente a esta amenaza
Para no acabar siendo la próxima víctima, lo más importante es aplicar el sentido común: si recibes un archivo .vbs, .exe, .bat o .js por WhatsApp, no lo abras bajo ningún concepto, aunque venga de tu mejor amigo. Lo ideal es llamar por teléfono a esa persona para confirmar si realmente ha enviado algo, ya que es muy probable que su cuenta haya sido comprometida.
A nivel técnico, se recomienda bloquear la ejecución de hosts de scripts como wscript o cscript en rutas no confiables y monitorizar cualquier cambio sospechoso en el registro del sistema. Activar la protección contra manipulaciones en el antivirus y utilizar la función de EDR en modo bloqueo puede detener la amenaza incluso si la firma del virus es desconocida. Además, si usas WhatsApp en el PC, es preferible hacerlo a través del navegador web en lugar de instalar la aplicación de escritorio, reduciendo así la superficie de ataque.
Mantener el sistema actualizado y desconfiar de cualquier documento que no use extensiones habituales como .pdf o .docx es la mejor defensa. La combinación de una educación digital sólida y herramientas de seguridad configuradas en modo estricto es lo único que puede frenar este tipo de campañas globales que explotan nuestra confianza en las apps de mensajería.