Ver el código de «Campaña BH Alert: Aplicación Falsa de Alerta de Emergencia Despliega Malware de Vigilancia en Android (2026)»

== Nombres Alternativos / Aliases ==

* BH Alert Campaign (Por el nombre de la aplicación maliciosa)
* Bahrain Civil Defense Impersonation (Por la entidad suplantada)
* OctagonPanel RAT (Por el componente de acceso remoto)
* Ward Framework Campaign (Por el framework de vigilancia)
* Gulf State Emergency Alert Malware (Por la región objetivo)

----

== Fecha de Detección / Actividad ==

* Fecha de análisis inicial (Dream Research Labs) : 17 de julio de 2026 
* Publicación del informe: 20 de julio de 2026 
* Publicación en medios: 22-23 de julio de 2026 
* Período de distribución: Julio de 2026 (durante activación de sirenas civiles en el Golfo) 
* Países objetivo: Baréin, Kuwait y otros estados del Golfo 
* Estado: Activa (en el momento del informe)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Desconocido (atribución no confirmada)
|-
|Vínculo Gubernamental
|No establecido
|-
|Tipo de Actor
|Ciberespionaje / Ciberdelincuencia
|-
|Sofisticación
|ALTA. Los actores demuestran:
|}

* Cadena de infección de cuatro etapas con ofuscación avanzada 
* Uso de RC4 y AES-256-GCM para cifrar payloads y comunicaciones 
* Payloads ocultos en archivos de fuente (.ttf) y .jar 
* Capacidad para interrumpir la conectividad de red del dispositivo y forzar la instalación 
* Técnicas de persistencia sofisticadas (watchdogs, AlarmManager, WorkManager) 
* Clonación precisa de Google Play y portales gubernamentales  |  | Motivación | Ciberespionaje / Robo de Credenciales |  | Objetivo regional | Estados del Golfo (Baréin, Kuwait) |

----

== Resumen Ejecutivo ==
El 17 de julio de 2026, investigadores de Dream Research Labs (una empresa de ciberseguridad especializada en defensa nacional) identificaron una campaña de malware dirigida a usuarios de Android en Baréin y otros estados del Golfo . La campaña utiliza una aplicación maliciosa denominada "BH Alert", que se hace pasar por una aplicación oficial de alerta de emergencia de la Defensa Civil de Baréin .

=== Contexto geopolítico ===
La campaña explota el miedo y la urgencia generados por las tensiones regionales, incluyendo ataques con misiles iraníes que han activado sirenas de defensa civil en Baréin y Kuwait durante julio de 2026 . Durante estos eventos, la demanda de instalación de aplicaciones oficiales de alerta de emergencia aumenta drásticamente .

=== El engaño ===
Los atacantes han creado una red de dominios de aspecto idéntico que clonan Google Play Store y sitios web oficiales del gobierno de Baréin . Las páginas fraudulentas incluyen:
{| class="wikitable"
!Elemento de Engaño
!Descripción
|-
|Dominios falsos
|<code>playgoogle[.]alertbh[.]com</code>, <code>download[.]alert-bh[.]com</code>, <code>download[.]bh-security[.]com</code> 
|-
|Imagen de marca
|Logotipos de Defensa Civil de Baréin, Ministerio del Interior y Autoridad de Información y Gobierno Electrónico 
|-
|Falsas métricas de confianza
|Más de 100,000 descargas, reseñas falsas, etiqueta "Verificado por Play Protect" 
|-
|Idioma
|Contenido bilingüe (inglés/árabe) que aumenta la legitimidad 
|-
|Referencias falsas
|Menciones a la UNDRR (Oficina de la ONU para la Reducción del Riesgo de Desastres) 
|-
|Animación de instalación falsa
|Secuencia simulada de "Instalando" y "Instalado" de 11.9 segundos antes de la descarga del APK 
|}

=== El vector de distribución ===
Los investigadores no identificaron un vector de distribución inicial directo, pero creen que los enlaces se propagan a través de smishing (SMS) y mensajes compartidos en redes sociales y aplicaciones de mensajería .
----

== Cadena de Infección en Cuatro Etapas ==

=== Resumen del flujo de ejecución ===
{| class="wikitable"
!Etapa
!Descripción
|-
|Etapa 0
|APK inicial (<code>com.old.stem.Ematterassist</code>) descifra un archivo de fuente RC4 (<code>ZfChs.ttf</code>) para inyectar código DEX en la aplicación 
|-
|Etapa 1
|La aplicación de configuración (<code>com.kit.kitty</code>) solicita permisos de VPN y "Instalar aplicaciones desconocidas" e interrumpe el tráfico de red para forzar la instalación del segundo APK 
|-
|Etapa 2
|El segundo APK (<code>biz.rely.melt.Hvoicemanual</code>) descifra otro payload RC4 oculto en un archivo <code>.jar</code> 
|-
|Etapa 3
|El RAT principal (<code>com.kisa.octagonpanel</code> / OctagonPanel) se activa y establece vigilancia persistente 
|}

=== Etapa 1: El mecanismo de coacción ===
El servicio VPN (<code>FenrirVpnService</code>) en la Etapa 1 es una técnica clave de coerción :

* Bloquea la mayor parte del tráfico de red de la víctima, dejando el dispositivo casi inoperable .
* Muestra una notificación persistente que pide al usuario "completar la configuración" .
* Si la víctima no completa la configuración en 15 minutos, el túnel VPN se cierra automáticamente para preservar el pretexto de "servicio técnico" y permitir un nuevo intento .

----

== Capacidades del Payload Principal (OctagonPanel RAT) ==
Una vez que OctagonPanel obtiene los permisos de Accesibilidad, SMS y Contactos, se convierte en una potente plataforma de vigilancia :
{| class="wikitable"
!Capacidad
!Descripción
|-
|Captura de Credenciales
|Roba PINs de bloqueo, contraseñas de cuentas y credenciales de aplicaciones (especialmente bancarias) mediante superposiciones de phishing 
|-
|Intercepción de SMS
|Captura todos los SMS, incluyendo códigos de autenticación de un solo uso (OTP) 
|-
|Captura de Pantalla
|Toma capturas de pantalla de la actividad del dispositivo 
|-
|Vigilancia de la UI
|Monitorea la interfaz de usuario en tiempo real a través de los Servicios de Accesibilidad para reaccionar ante acciones de la víctima 
|-
|Control Remoto
|Controla el dispositivo de forma remota y en tiempo real, ejecutando comandos 
|-
|Exfiltración de Datos
|Roba contactos, registros de llamadas, aplicaciones instaladas 
|-
|Persistencia
|Mantiene el acceso después del reinicio mediante servicios watchdog, AlarmManager y WorkManager 
|}

=== Comunicación C2 ===

* Cifrado: Los datos exfiltrados se cifran con AES-256-GCM antes de ser enviados .
* Clave: La clave de cifrado se deriva de la frase <code>octagon-default-key-change-me</code> mediante SHA-256 .
* C2: El servidor de comando y control está en <code>209.99.184.50:4444</code> .
* Heartbeat: El malware mantiene una conexión con el C2 mediante un heartbeat de ~5 segundos, un patrón de tráfico detectable .

----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance
|ALTO
|Dirigido a usuarios de Baréin y Kuwait durante tensiones regionales activas
|-
|Técnicas de Evasión
|MUY ALTA
|Payloads en múltiples capas, cifrados RC4/AES, ofuscación
|-
|Privilegios Requeridos
|MUY ALTOS
|Permisos para Servicios de Accesibilidad, VPN, SMS, y Contactos 
|-
|Riesgo para Infraestructura Crítica
|ALTO
|El compromiso de dispositivos en personal de defensa/gobierno podría dar acceso a redes corporativas 
|-
|Detección
|BAJA
|El tráfico parece benigno, el engaño es de alta calidad
|}

=== Consecuencias para las Víctimas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de Credenciales
|Crítica
|Contraseñas bancarias y PINs robados, permitiendo robo directo de fondos
|-
|Compromiso de MFA
|Crítica
|Captura de códigos OTP, permitiendo bypass de autenticación multifactor 
|-
|Vigilancia
|Alta
|Monitoreo completo de mensajes, contactos, llamadas y actividad del dispositivo
|-
|Control Remoto
|Alta
|Los atacantes pueden ejecutar acciones en el dispositivo en tiempo real 
|}
----

== Recomendaciones de Mitigación ==

=== Para Usuarios en el Golfo ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Descargar solo de Google Play oficial
|CRÍTICA
|Instalar aplicaciones de emergencia ÚNICAMENTE desde la tienda oficial de Google 
|-
|No confiar en enlaces de SMS o redes
|CRÍTICA
|No instalar aplicaciones desde enlaces enviados por mensaje de texto, WhatsApp, o redes sociales 
|-
|Verificar la URL de Google Play
|CRÍTICA
|La URL real de Google Play es <code>play.google.com</code>; verificar si hay palabras o caracteres adicionales 
|-
|Verificar permisos de aplicaciones
|ALTA
|Una aplicación de alerta de emergencia no debería necesitar permisos de Accesibilidad, SMS, o Contactos 
|}

=== Para Organizaciones ===
{| class="wikitable"
!Acción
!Descripción
|-
|Usar una solución MDM
|Aplicar políticas de seguridad móvil, bloquear el sideloading, y restringir la instalación de aplicaciones a fuentes aprobadas 
|-
|Monitoreo de Red
|Detectar el tráfico de heartbeat de 5 segundos desde dispositivos móviles 
|-
|Educación de Usuarios
|Informar a los empleados (especialmente a los que trabajan con defensa y gobierno) sobre la campaña BH Alert 
|-
|Revisar permisos de aplicaciones
|Auditoría de aplicaciones instaladas para detectar las que abusan de permisos de Alto Riesgo 
|}
----

== Opiniones de Expertos ==
<blockquote>''"Impersonating one of these apps in the middle of a live conflict is one of the most efficient ways to be trusted on a target’s device. The malware does not have to break anything. It just needs to impersonate an official app to be granted access, and fear does the rest."''

— Dream Research Labs </blockquote><blockquote>''"A compromised employee smartphone could potentially be used to bypass multifactor authentication (MFA) protections and gain access to corporate applications."''

— Dream Research Labs </blockquote><blockquote>''"Network monitoring can help detect this malware once active, since it phones home on a steady ~5-second heartbeat — an anomaly that stands out as a consistent, identifiable traffic pattern, detectable even without decrypting the traffic itself."''

— Portavoz de Dream Research Lab </blockquote>
----

== Referencias y Fuentes ==

# Gulf Daily News. (2026, 21 de julio). ''Fake alert app warning''. 
# Culafi, A. (2026, 23 de julio). ''Fake Bahrain Alert App Deploys Android Surveillance Malware''. Dark Reading. 
# CyberSecurityNews. (2026, 22 de julio). ''Fake Bahrain Civil Defense App Deploys Android RAT to Steal PINs, OTPs, and Banking Credentials''. 
# Dream Research Labs. (2026, 20 de julio). ''How a Fake Bahrain Civil-Defense App Turns a Phone Into a Listening Post''. Dream Security Blog. 
# CN-SEC. (2026, 23 de julio). ''警报为饵，手机成监听站：巴林虚假预警应用BH Alert简析''. 

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-07-23
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en análisis de Dream Research Labs, Dark Reading y CyberSecurityNews
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Dominios Maliciosos ===
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>playgoogle[.]alertbh[.]com</code>
|Página de suplantación de Google Play 
|-
|<code>download[.]alert-bh[.]com</code>
|Página de suplantación de Google Play con animación de 11.9 segundos 
|-
|<code>download[.]alertbh[.]info</code>
|Página de suplantación de Google Play (descarga directa) 
|-
|<code>download[.]bh-security[.]com</code>
|Portal gubernamental suplantado 
|}

=== IPs y Puertos C2 ===
{| class="wikitable"
!Indicador
!Propósito
|-
|<code>209.99.184.50:4444</code>
|Servidor C2 de OctagonPanel/Ward 
|}

=== Nombres de Paquetes Maliciosos ===
{| class="wikitable"
!Paquete
!Etapa
|-
|<code>com.old.stem.Ematterassist</code>
|Etapa 0 - Descifrador inicial 
|-
|<code>com.kit.kitty</code>
|Etapa 1 - Coercitivo 
|-
|<code>biz.rely.melt.Hvoicemanual</code>
|Etapa 2 - Descifrador secundario 
|-
|<code>com.kisa.octagonpanel</code>
|Etapa 3 - RAT principal 
|}

=== Archivos Clave ===
{| class="wikitable"
!Archivo
!Propósito
|-
|<code>ZfChs.ttf</code>
|Archivo de fuente que contiene payload cifrado con RC4 
|-
|<code>payload.base</code>
|APK secundario descargado durante la Etapa 1 
|-
|<code>ZGdSEl.jar</code>
|Archivo JAR que contiene payload final 
|}

=== Claves Criptográficas ===
{| class="wikitable"
!Tipo
!Valor
|-
|Clave RC4 (Etapa 0)
|<code>ct</code> 
|-
|Clave RC4 (Etapa 2)
|<code>NYrGT</code> 
|-
|Clave C2 (AES-256-GCM)
|<code>octagon-default-key-change-me</code> (SHA-256 derivado) 
|}

=== Comportamiento a Monitorear ===
{| class="wikitable"
!Comportamiento
!Descripción
|-
|Heartbeat C2
|Tráfico saliente que ocurre aproximadamente cada 5 segundos 
|-
|Servicio VPN Interrumpido
|Aplicación que solicita permisos de VPN y luego bloquea tráfico de red de otras aplicaciones 
|-
|Permisos de Accesibilidad
|Aplicación que solicita Servicios de Accesibilidad después de la instalación 
|-
|Archivos de Fuente en Aplicaciones
|Aplicaciones con archivos <code>.ttf</code> excepcionalmente grandes 
|}
----

== Etiquetas / Categorías ==
 bh-alert octagonpanel-rat ward-framework android-malware surveillance-malware bahrain-civil-defense impersonation emergency-alert-phishing smishing-campaign gulf-state-cyberattack android-spyware banking-trojan credential-theft mfa-bypass four-stage-payload rc4-encryption ttf-payload-hiding