Guillem Alsina Gonzàlez
Los investigadores de seguridad de Kaspersky han detectado una campaña de distribución de software malicioso a través de las versiones de escritorio y web de WhatsApp que afecta a usuarios de múltiples regiones, entre estos, a los de España, y que se mantiene operativa en el momento de escribir estas líneas.
El equipo de Análisis e Investigación Global de la firma rusa dedicada a la ciberseguridad ha trazado la operativa inicial de esta intrusión. El método de ataque se basa en el envío de archivos adjuntos que simulan ser documentos corporativos desde cuentas de mensajería previamente vulneradas. Para dotar de mayor credibilidad a la comunicación y facilitar su penetración en el mercado europeo y otras zonas geográficas, los atacantes utilizan nombres de archivo que aparentan ser facturas, extractos bancarios, avisos de deuda o comprobantes de pago, adaptándolos a idiomas como el inglés, el francés, el alemán, el portugués y el malayo. Al recibir la comunicación de un contacto de su propia agenda, el receptor tiende a dar por válida la legitimidad del envío.
Según detallan los analistas responsables del descubrimiento, los asaltantes explotan este vínculo de confianza para conseguir que el profesional interactúe con el archivo. Las pruebas técnicas revelan que dichos adjuntos son en realidad secuencias de comandos programadas en VBScript. Para minimizar las sospechas iniciales, estos archivos incorporan metadatos y comentarios internos diseñados para hacerse pasar por componentes estandarizados de las actualizaciones del sistema operativo Windows.
Una vez que el usuario ejecuta el supuesto documento, se desencadena un proceso de intrusión estructurado en distintas etapas. En un primer momento, el archivo inicial genera un directorio de trabajo temporal en el ordenador y procede a descargar elementos adicionales desde servidores externos controlados por terceros, ejecutándolos a través de las herramientas nativas del propio sistema operativo.
La cadena de infección culmina con la instalación silenciosa de herramientas legítimas de administración remota que otorgan a los asaltantes el control total de los equipos afectados. En los incidentes concretos de esta campaña, se ha identificado el despliegue no autorizado del paquete de instalación correspondiente a la plataforma empresarial ManageEngine Endpoint Central.
El empleo de este tipo de programas, diseñados en origen para la gestión lícita de redes, la distribución de software o el soporte técnico corporativo, se ha consolidado como una táctica recurrente para enmascarar actividades ilícitas frente a las soluciones de defensa perimetral.
Ante el alcance de esta clase de operativas, los especialistas aconsejan a los responsables de tecnología extremar las directrices de precaución ante la recepción de comunicaciones inesperadas por canales de mensajería instantánea, además de recomendar la instauración de políticas estrictas para evitar la apertura de archivos con extensiones ejecutables o de secuencias de comandos sin una verificación exhaustiva de su procedencia real, apoyándose en todo momento en plataformas de protección avanzadas en los puestos de trabajo para bloquear la cadena de ejecución de este tipo de amenazas.
