Cuidado con los archivos de pagos falsos en WhatsApp 

Ciberdelincuentes utilizan WhatsApp para propagar malware mediante archivos de facturas y pagos

Una campaña de distribución de malware opera mediante mensajes de WhatsApp en América Latina con el objetivo de infectar computadores de uso personal y corporativo. La empresa de ciberseguridad Kaspersky detectó que atacantes emplean cuentas en poder de terceros para enviar archivos adjuntos a contactos guardados en la agenda. Esta estrategia aprovecha la confianza entre usuarios al recibir comprobantes de pago, extractos bancarios, avisos de deuda y facturas para lograr la ejecución de código en los dispositivos. 

La investigación del Equipo Global de Investigación y Análisis (GReAT) reveló que las transmisiones ocurren a través de aplicaciones de escritorio como WhatsApp Web y WhatsApp Desktop. Al provenir de chats habituales, los envíos reducen la prevención de las víctimas y facilitan la apertura de los documentos. 

¿Cómo funciona el archivo dentro del sistema operativo?

El contenido adjunto utiliza VBScript, un lenguaje de programación que ejecuta instrucciones en la computadora al momento de la apertura del archivo. Tras la activación del código, el programa inicia una secuencia de acciones para descargar componentes desde servidores externos. 

Posteriormente, el proceso instala herramientas de gestión que permiten el acceso a distancia al equipo. Con esta penetración, los atacantes logran mantener el control del terminal, desplazarse por el sistema y ejecutar programas adicionales sin autorización. 

• El archivo crea un directorio de trabajo en la carpeta pública de documentos del equipo. 
• Recupera programas suplementarios desde una infraestructura externa mediante Windows Script Host. 
• Descarga un paquete comprimido con software de supervisión y administración. 

¿Cuáles son las técnicas de ingeniería social observadas en la campaña?

Los archivos adjuntos imitan la apariencia de documentos administrativos de uso frecuente en empresas e instituciones. Los nombres de los archivos figuran en idiomas como inglés, portugués, francés, alemán y malayo, lo cual evidencia un alcance internacional de la operación. 

Aparte de usar nombres en varias lenguas, algunas muestras del código añaden metadatos que simulan pertenecer a componentes de Microsoft Windows Update. Esta maniobra intenta engañar a los sistemas de verificación e impedir la detección por parte de personas sin programas de protección. 

¿Qué impacto representa esta amenaza para las organizaciones?

El uso de cuentas capturadas transforma las interacciones diarias en vías de entrada para ataques informáticos a las organizaciones. La suplantación de la identidad de contactos cercanos disminuye la prevención del receptor ante el envío de documentos. 

«Lo más preocupante de esta campaña no es solo el uso de WhatsApp como canal de distribución, sino la forma en que los atacantes convierten una conversación cotidiana en una puerta de entrada al dispositivo. Cuando el archivo llega desde una cuenta conocida, la primera barrera de defensa del usuario, la desconfianza, se debilita. Esto demuestra cómo el crimeware está dejando de depender únicamente de correos sospechosos o sitios falsos, y está migrando hacia espacios donde las personas interactúan con mayor naturalidad y menos prevención. Para las organizaciones y los usuarios, el riesgo está en que un documento que parece rutinario, como una factura o un comprobante de pago, puede terminar habilitando el acceso remoto al equipo y abrir la puerta a robo de información, movimientos laterales o nuevas infecciones», afirmó Fabio Assolini, Lead Security Researcher de GReAT para América Latina en Kaspersky. 

¿Cómo prevenir infecciones por archivos recibidos en mensajería?

Frente a la propagación de estas amenazas, los analistas de seguridad sugieren aplicar medidas de verificación en la recepción de datos. 

• Confirmar por vías alternativas la autenticidad de cualquier archivo no solicitado antes de su apertura. 
• Evitar la ejecución de archivos de extensión .vbs, .vbe, .exe, .bat, .cmd, .js y .ps1. 
• Desconfiar de archivos de facturas o pagos recibidos sin contexto previo o con mensajes genéricos. 
• Contar con soluciones de protección informática como Kaspersky Premium para bloquear descargas en tiempo real. 

Para obtener más detalles sobre protección de datos y herramientas de defensa contra amenazas informáticas, los usuarios pueden ingresar al portal de la compañía en www.kaspersky.com.