### Campaña de malware aprovecha WhatsApp para distribuir archivos maliciosos en España

#### Introducción

En las últimas semanas, analistas de Kaspersky han identificado una campaña activa de distribución de malware que utiliza WhatsApp como canal principal para la entrega de archivos maliciosos. Esta operación, con objetivos en múltiples países europeos y latinoamericanos, ha impactado de manera significativa a usuarios y empresas en España, poniendo de relieve la sofisticación y adaptabilidad de los atacantes para explotar canales de comunicación ampliamente adoptados en el entorno corporativo y personal.

#### Contexto del Incidente o Vulnerabilidad

El uso de aplicaciones de mensajería instantánea como vector de ataque no es nuevo, pero la creciente confianza en WhatsApp tanto en entornos personales como profesionales ha convertido esta plataforma en un objetivo prioritario para los ciberdelincuentes. La campaña detectada por Kaspersky se caracteriza por el envío masivo de archivos adjuntos a través de chats individuales o de grupo, recurriendo a técnicas de ingeniería social para incrementar la probabilidad de que los usuarios ejecuten los archivos maliciosos.

El ataque se ha observado principalmente desde finales de mayo de 2024 y continúa activo, según los últimos análisis de Kaspersky. Los atacantes emplean mensajes suplantando a empresas, bancos o entidades gubernamentales, lo que aumenta la tasa de apertura y ejecución de los archivos infectados.

#### Detalles Técnicos

La campaña utiliza archivos con extensión .VBS (Visual Basic Script), un tipo de archivo de script que, al ejecutarse en sistemas Windows, puede realizar una amplia variedad de acciones, muchas de ellas maliciosas. El malware distribuido ha sido identificado bajo la denominación genérica de «Trojan.VBS.Agent», aunque se han detectado variantes específicas adaptadas a la campaña.

**Vectores de Ataque:**
– Distribución directa por WhatsApp a través de mensajes privados y grupos.
– Ingeniería social: los archivos se presentan como facturas, informes financieros o avisos empresariales.
– Uso de nombres de archivo como “Factura_2024_06.VBS” o “Informe_Bancario.VBS”.

**TTP MITRE ATT&CK:**
– **Initial Access**: Phishing vía mensajería instantánea [T1566.002].
– **Execution**: User Execution – Malicious File [T1204.002].
– **Persistence**: Registry Run Keys/Startup Folder [T1547.001].
– **Defense Evasion**: Obfuscated Files or Information [T1027].
– **Command and Control**: Application Layer Protocol [T1071.001].

**Indicadores de Compromiso (IoC):**
– Hashes de archivos VBS maliciosos (SHA256 disponibles en los informes de Kaspersky).
– Dominios y URLs de C2 (Command & Control) identificados como fuentes de descarga secundaria de payloads.
– Modificaciones en claves de registro de Windows para persistencia.

**Exploits conocidos y frameworks:**
Hasta el momento, la campaña no explota vulnerabilidades de día cero, sino que depende enteramente de la interacción del usuario (ingeniería social). Sin embargo, se han detectado payloads descargados que integran módulos de Metasploit y Cobalt Strike, utilizados para movimientos laterales y exfiltración de información una vez que se ha comprometido el endpoint.

#### Impacto y Riesgos

El impacto de esta campaña es significativo, especialmente en sectores donde WhatsApp forma parte de los flujos de comunicación internos o con clientes. Kaspersky estima que, en los primeros días de la campaña, se han visto afectados varios miles de usuarios, con un incremento del 35% en las detecciones de malware de tipo VBS distribuidos por canales de mensajería.

Los riesgos principales incluyen:
– Robo de credenciales y datos financieros.
– Instalación de backdoors y puertas de persistencia.
– Riesgo de escalada de privilegios y movimientos laterales en redes corporativas.
– Potencial incumplimiento de normativa GDPR y NIS2, especialmente en lo relativo a la protección de datos personales y la notificación de incidentes.

Se han reportado pérdidas económicas asociadas a fraudes bancarios y secuestro de información, con estimaciones preliminares que superan los 500.000 euros en daños indirectos en Europa.

#### Medidas de Mitigación y Recomendaciones

Para minimizar el riesgo de infección, se recomienda a las organizaciones y usuarios implementar las siguientes medidas:
– **Bloqueo de archivos .VBS** en gateways de correo y filtrado de contenidos en WhatsApp Business API.
– **Concienciación y formación** sobre ingeniería social y riesgos asociados a la apertura de archivos no solicitados.
– **Actualización de soluciones antimalware** y verificación de que las firmas incluyen las muestras más recientes detectadas.
– **Monitorización de tráfico saliente** para identificar conexiones a dominios C2 sospechosos.
– **Políticas de restricción de ejecución de scripts** en endpoints Windows mediante GPOs.
– **Revisión y endurecimiento de configuraciones de seguridad** en dispositivos móviles y escritorios.

#### Opinión de Expertos

Expertos de la industria como Josep Albors (ESET España) y Pablo González (Telefonica Tech) coinciden en que el uso de WhatsApp como vector de distribución refleja una tendencia al alza en el aprovechamiento de canales de comunicación reputados y difíciles de bloquear por su uso legítimo. Recomiendan reforzar las políticas de seguridad y no confiar ciegamente en la reputación de un canal.

#### Implicaciones para Empresas y Usuarios

La campaña subraya la necesidad de revisar el uso de aplicaciones de mensajería en entornos corporativos, así como de reforzar las estrategias de defensa en profundidad. Las empresas deben considerar la integración de controles adicionales en sus plataformas de mensajería, así como la obligatoriedad de notificación de incidentes en cumplimiento de la GDPR y la futura directiva NIS2. Para los usuarios, la recomendación es clara: jamás abrir archivos ejecutables recibidos por mensajería, incluso si proceden de contactos conocidos.

#### Conclusiones

La utilización de WhatsApp como canal de distribución de malware marca una evolución en las tácticas de los ciberdelincuentes, que buscan explotar la confianza depositada en aplicaciones cotidianas. La respuesta defensiva debe ser ágil y adaptativa, combinando tecnología, formación y procesos. Las organizaciones que no adapten sus controles corren el riesgo de sufrir incidentes con consecuencias económicas, legales y reputacionales graves.

(Fuente: www.cybersecuritynews.es)