Una nueva campaña de malware está utilizando WhatsApp para infectar ordenadores con Windows mediante archivos que aparentan ser documentos de trabajo, facturas o avisos financieros, pero acaban permitiendo el acceso remoto al sistema. Según informa la firma de ciberseguridad Kaspersky, los atacantes no utilizan un formato habitual, como PDF o Word, sino archivos de tipo VBS, que en Windows pueden ejecutar instrucciones automáticamente si el usuario los abre.. VBS es la abreviatura de VBScript, un lenguaje de scripting de Microsoft que durante años se ha usado para automatizar tareas en Windows. En entornos de administración puede servir para lanzar procesos, modificar configuraciones o ejecutar acciones repetitivas sin intervención del usuario. Esa misma capacidad lo convierte en peligroso cuando llega por WhatsApp disfrazado de documento empresarial.. Según Kaspersky, los atacantes están enviando estos archivos desde cuentas de WhatsApp previamente comprometidas. Eso hace que el engaño sea más creíble, porque el mensaje proviene de un contacto real de la víctima. Los nombres de los archivos imitan documentos habituales en el entorno laboral, como informes financieros, facturas, extractos o avisos de cuenta. Además, están adaptados a varios idiomas, lo que refuerza la idea de que la campaña tiene alcance internacional.. ‘A partir de las pruebas recopiladas de múltiples víctimas mediante informes en redes sociales y muestras enviadas, podemos concluir que el actor malicioso había obtenido acceso a varias cuentas de WhatsApp y las utilizó para distribuir los archivos VBScript maliciosos a los contactos de las listas de contactos de los usuarios comprometidos’, explica Kaspersky.. ‘En el momento de escribir esto, se desconoce el método exacto utilizado para comprometer estas cuentas de WhatsApp’.. Infección a través de WhatsApp Web y WhatsApp para Windows. La campaña ha sido detectada en varios países, entre ellos España, Reino Unido, Brasil, India, México, Singapur, Taiwán, Australia, Rusia, Vietnam y Malasia. El ataque afecta a Windows y no a otros sistemas operativos porque depende de componentes propios del sistema de Microsoft. Cuando la víctima abre el archivo VBS en un PC, entra en juego Windows Script Host, la herramienta que permite ejecutar este tipo de scripts. En un móvil, ese archivo no se puede abrir, pero en un ordenador con Windows puede iniciar la infección.. En consecuencia, la amenaza puede llegar por dos vías, pero con una diferencia. En WhatsApp Web, el archivo debe descargarse antes de abrirlo. En la aplicación de WhatsApp para Windows, Kaspersky advierte de que el archivo puede ejecutarse directamente mediante wscript.exe, el proceso asociado a Windows Script Host. En ambos casos, la infección comienza cuando el usuario abre el supuesto documento.. Una vez ejecutado, el archivo VBScript descarga otros scripts desde la infraestructura de los atacantes. Después modifica el Registro de Windows para desactivar protecciones de UAC, el sistema de control de cuentas de usuario que avisa antes de hacer cambios sensibles en el equipo. A continuación descarga un archivo ZIP con ManageEngine Endpoint Central, una herramienta legítima usada por administradores de TI para gestionar ordenadores desde un panel centralizado. Los atacantes lo instalan de forma silenciosa y lo configuran para conectarse a servidores bajo su control. El resultado es que obtienen acceso remoto de administración al ordenador de la víctima.. Kaspersky no atribuye la campaña a un grupo concreto. Sus investigadores han encontrado indicios de uso del idioma chino y solapamientos de infraestructura con direcciones IP asociadas anteriormente a los grupos de hackers ValleyRAT y Gh0st RAT, pero no consideran que haya pruebas suficientes para hacer una atribución sólida.. Kaspersky recomienda a los usuarios que, si reciben por WhatsApp un archivo con extensión .vbs, no lo abran, aunque venga de un contacto conocido. Lo prudente es preguntarle por otra vía si realmente lo ha enviado. También conviene desconfiar de cualquier supuesto documento de trabajo que no tenga una extensión habitual y analizar los archivos descargados con un antivirus actualizado antes de ejecutarlos.
Una campaña detectada por Kaspersky distribuye falsos documentos de trabajo por WhatsApp Web y la app para Windows para infectar ordenadores con el sistema operativo de Microsoft
Una nueva campaña de malware está utilizando WhatsApp para infectar ordenadores con Windows mediante archivos que aparentan ser documentos de trabajo, facturas o avisos financieros, pero acaban permitiendo el acceso remoto al sistema. Según informa la firma de ciberseguridad Kaspersky, los atacantes no utilizan un formato habitual, como PDF o Word, sino archivos de tipo VBS, que en Windows pueden ejecutar instrucciones automáticamente si el usuario los abre.. VBS es la abreviatura de VBScript, un lenguaje de scripting de Microsoft que durante años se ha usado para automatizar tareas en Windows. En entornos de administración puede servir para lanzar procesos, modificar configuraciones o ejecutar acciones repetitivas sin intervención del usuario. Esa misma capacidad lo convierte en peligroso cuando llega por WhatsApp disfrazado de documento empresarial.. Según Kaspersky, los atacantes están enviando estos archivos desde cuentas de WhatsApp previamente comprometidas. Eso hace que el engaño sea más creíble, porque el mensaje proviene de un contacto real de la víctima. Los nombres de los archivos imitan documentos habituales en el entorno laboral, como informes financieros, facturas, extractos o avisos de cuenta. Además, están adaptados a varios idiomas, lo que refuerza la idea de que la campaña tiene alcance internacional.. ‘A partir de las pruebas recopiladas de múltiples víctimas mediante informes en redes sociales y muestras enviadas, podemos concluir que el actor malicioso había obtenido acceso a varias cuentas de WhatsApp y las utilizó para distribuir los archivos VBScript maliciosos a los contactos de las listas de contactos de los usuarios comprometidos’, explica Kaspersky.. ‘En el momento de escribir esto, se desconoce el método exacto utilizado para comprometer estas cuentas de WhatsApp’.. La campaña ha sido detectada en varios países, entre ellos España, Reino Unido, Brasil, India, México, Singapur, Taiwán, Australia, Rusia, Vietnam y Malasia. El ataque afecta a Windows y no a otros sistemas operativos porque depende de componentes propios del sistema de Microsoft. Cuando la víctima abre el archivo VBS en un PC, entra en juego Windows Script Host, la herramienta que permite ejecutar este tipo de scripts. En un móvil, ese archivo no se puede abrir, pero en un ordenador con Windows puede iniciar la infección.. En consecuencia, la amenaza puede llegar por dos vías, pero con una diferencia. En WhatsApp Web, el archivo debe descargarse antes de abrirlo. En la aplicación de WhatsApp para Windows, Kaspersky advierte de que el archivo puede ejecutarse directamente mediante wscript.exe, el proceso asociado a Windows Script Host. En ambos casos, la infección comienza cuando el usuario abre el supuesto documento.. Una vez ejecutado, el archivo VBScript descarga otros scripts desde la infraestructura de los atacantes. Después modifica el Registro de Windows para desactivar protecciones de UAC, el sistema de control de cuentas de usuario que avisa antes de hacer cambios sensibles en el equipo. A continuación descarga un archivo ZIP con ManageEngine Endpoint Central, una herramienta legítima usada por administradores de TI para gestionar ordenadores desde un panel centralizado. Los atacantes lo instalan de forma silenciosa y lo configuran para conectarse a servidores bajo su control. El resultado es que obtienen acceso remoto de administración al ordenador de la víctima.. Kaspersky no atribuye la campaña a un grupo concreto. Sus investigadores han encontrado indicios de uso del idioma chino y solapamientos de infraestructura con direcciones IP asociadas anteriormente a los grupos de hackers ValleyRAT y Gh0st RAT, pero no consideran que haya pruebas suficientes para hacer una atribución sólida.. Kaspersky recomienda a los usuarios que, si reciben por WhatsApp un archivo con extensión .vbs, no lo abran, aunque venga de un contacto conocido. Lo prudente es preguntarle por otra vía si realmente lo ha enviado. También conviene desconfiar de cualquier supuesto documento de trabajo que no tenga una extensión habitual y analizar los archivos descargados con un antivirus actualizado antes de ejecutarlos.
Noticias de Tecnología y Videojuegos en La Razón
