Ver el código de «Campaña de VBScript a través de WhatsApp: Distribución de Software RMM y Compromiso de Cuentas (2026)»

== Nombres Alternativos / Aliases ==

* WhatsApp VBScript Campaign (Por el vector de distribución)
* WhatsApp RMM Dropper (Por el payload final)
* ManageEngine Endpoint Central Abuse Campaign (Por el software abusado)
* WhatsApp Account Compromise Campaign (Por el método de propagación)

----

== Fecha de Detección / Actividad ==

* Fecha de detección: Junio de 2026
* Período de actividad: Junio de 2026 (activa al momento del informe)
* Países afectados: Malasia, Brasil, India, México, Singapur, Reino Unido, España, Taiwán, Australia, Rusia y Vietnam
* Distribución de víctimas: 80% en Malasia
* Estado: Activa (continúa operando)

----

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: Desconocido (sin atribución a grupo conocido)
* Atribución preliminar: Operador de habla china (confianza baja)
* Indicadores de origen:
** Comentarios y metadatos en scripts escritos en chino simplificado
** Referencias a módulos de Windows Update en chino
* Vínculo Gubernamental: No establecido
* Tipo de Actor: Ciberdelincuencia (posiblemente inicial)
* Sofisticación: MEDIA. El grupo demuestra:
** Compromiso de cuentas de WhatsApp (método desconocido)
** Ingeniería social multilingüe (múltiples idiomas en señuelos)
** Uso de múltiples mecanismos de descarga (curl, bitsadmin, PowerShell)
** Abuso de software legítimo (ManageEngine Endpoint Central) como RMM
** Ofuscación básica (concatenación, variables aleatorias, junk content)

----

== Resumen Ejecutivo ==
En junio de 2026, investigadores de Kaspersky GReAT identificaron una campaña de malware activa que distribuye scripts VBScript maliciosos a través de mensajes directos de WhatsApp. La campaña ha afectado a usuarios en más de 10 países, con la mayor concentración de víctimas en Malasia (80%).

=== Mecanismo de distribución ===
Los atacantes comprometieron cuentas de WhatsApp de usuarios legítimos y utilizaron esas cuentas para enviar archivos VBScript maliciosos a los contactos de la lista de la víctima. Los mensajes contenían solo el archivo adjunto, sin texto acompañante, y un mismo remitente enviaba el mismo archivo a múltiples contactos.<blockquote>''"Un mismo remitente envió el mismo archivo adjunto a múltiples contactos de su lista."''</blockquote>

=== El engaño: ingeniería social financiera ===
El éxito de la campaña se basa en nombres de archivo engañosos que imitan documentos empresariales y financieros:
{| class="wikitable"
!Categoría
!Ejemplos
|-
|Inglés
|<code>Financial Reports.vbs</code>, <code>Debt confirmation.vbs</code>, <code>Outstanding Payment List.vbs</code>
|-
|Portugués
|<code>Extrato de Conciliação.vbs</code>, <code>Aviso de dívida.vbs</code>
|-
|Alemán
|<code>Bitte füllen Sie das Formular für Umsatzsteuer-Nullsatz-Verkäufe aus.vbs</code>
|-
|Malayo
|<code>Penyata bank.vbs</code>, <code>Sila semak bil anda.vbs</code>
|-
|Francés
|<code>Le formulaire de demande le plus récent.vbs</code>
|}

=== Cadena de infección ===

# El usuario recibe un archivo VBScript adjunto en WhatsApp
# Dos interacciones necesarias:
#* Descargar el archivo (clic en el adjunto)
#* Abrir el archivo (ejecutarlo)
# Stage 1: El VBScript crea un directorio oculto, descarga dos scripts adicionales
# Stage 2: Los scripts descargados modifican la configuración de UAC y descargan un ZIP
# Stage 3: El ZIP contiene el instalador de ManageEngine Endpoint Central (RMM legítimo) preconfigurado
# Resultado final: El atacante obtiene acceso remoto persistente al sistema de la víctima

=== Payload final: Abuso de software legítimo ===
La campaña instala silenciosamente ManageEngine Endpoint Central, un software de administración remota legítimo, en los sistemas de las víctimas. Este software permite al atacante:

* Acceso remoto completo al sistema
* Monitoreo de actividad del usuario
* Control total del equipo comprometido

=== Infraestructura ===
Los archivos maliciosos se descargan desde:

* Dominios personalizados: <code>temu.baskwms[.]top</code>, <code>invoice.msopsa[.]top</code>
* Servicios de almacenamiento en la nube: Buckets de Alibaba Cloud OSS, AWS S3 y Backblaze B2

Los servidores de gestión del RMM se alojan en IPs de Taiwán, incluyendo <code>202.61.160.201</code>, que se ha observado previamente en infraestructura asociada a ValleyRAT y Gh0st RAT.
----

== Vector de Ataque / Método de Distribución ==

=== Vector principal: Compromiso de cuentas de WhatsApp ===
{| class="wikitable"
!Fase
!Descripción
|-
|Compromiso inicial
|Método desconocido (posible phishing, robo de cookies/sesiones, SIM swapping)
|-
|Propagación
|El atacante usa la cuenta comprometida para enviar el VBScript a contactos
|-
|Ingeniería social
|Nombres de archivo financieros y documentos empresariales
|-
|Ejecución
|El usuario debe descargar y abrir el archivo manualmente
|}

=== Proceso de infección técnica ===

==== Stage 1: VBScript inicial ====

* El script crea un directorio en <code>C:\Users\Public\Documents\</code> con nombre aleatorio (<code>Temp_<random></code> o <code>MSUpdate_<random></code>)
* Configura el directorio y archivos con atributos ocultos y de sistema
* Descarga dos scripts VBS adicionales desde la infraestructura del atacante
* Utiliza múltiples mecanismos de descarga:
** <code>curl.exe</code> (renombrado con nombre de DLL)
** <code>bitsadmin.exe</code> (renombrado)
** <code>certutil.exe</code>
** PowerShell
** Solicitudes HTTP directas

==== Stage 2: Scripts secundarios ====
{| class="wikitable"
!Script
!Función
|-
|Script 1
|Modifica <code>ConsentPromptBehaviorAdmin</code> en el registro para deshabilitar las solicitudes de UAC
|-
|Script 2
|Descarga un archivo ZIP que contiene el paquete de instalación de ManageEngine Endpoint Central
|}

==== Stage 3: Instalación del RMM ====

* El script <code>setup1.vbs</code> verifica que todos los archivos de instalación estén presentes
* Solicita privilegios de administrador con <code>runas</code>
* Instala silenciosamente el agente de Endpoint Central mediante <code>msiexec.exe</code>
* La instalación utiliza certificados y configuraciones predefinidas (DCAgentServerInfo.json, DMRootCA.crt)

=== Detección y evasión ===
{| class="wikitable"
!Técnica de evasión
!Descripción
|-
|Atributos ocultos
|Directorios y archivos configurados con atributos <code>+h +s</code>
|-
|Nombres de archivo engañosos
|Extensiones PDF/TXT que son renombradas a VBS
|-
|Comentarios falsos
|Metadatos que imitan módulos legítimos de Windows Update (en chino)
|-
|Ofuscación
|Concatenación de caracteres, variables aleatorias, junk content
|-
|Eliminación de Zone.Identifier
|Elimina las marcas de "archivo descargado de Internet"
|-
|Silencio de instalación
|El RMM se instala sin mostrar interfaz al usuario
|}
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing via Service (T1566.003)
|Envío de archivos maliciosos a través de cuentas de WhatsApp comprometidas
|-
|Execution (TA0002)
|User Execution: Malicious File (T1204.002)
|Usuario abre el archivo VBScript adjunto
|-
|Execution (TA0002)
|Command and Scripting Interpreter: VBScript (T1059.005)
|Ejecución de scripts VBScript a través de WScript.exe
|-
|Persistence (TA0003)
|Scheduled Task/Job (T1053.005)
|Tareas programadas para reinstalación (no confirmado en todos los casos)
|-
|Persistence (TA0003)
|Server Software Component (T1505)
|Instalación de agente de ManageEngine Endpoint Central
|-
|Privilege Escalation (TA0004)
|Abuse Elevation Control Mechanism (T1548)
|Modificación de UAC (<code>ConsentPromptBehaviorAdmin=0</code>)
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Nombres de archivo que imitan documentos financieros
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Ofuscación de scripts (concatenación, variables aleatorias)
|-
|Defense Evasion (TA0005)
|Hidden Files and Directories (T1564.001)
|Directorios y archivos ocultos con atributos <code>+h +s</code>
|-
|Defense Evasion (TA0005)
|Modify Registry (T1112)
|Modificación de clave de UAC
|-
|Defense Evasion (TA0005)
|Masquerade as Legitimate Windows Component
|Comentarios falsos de Windows Update en chino
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Descarga de scripts y archivos ZIP a través de HTTP/HTTPS
|-
|Command and Control (TA0011)
|Remote Access Software (T1219)
|ManageEngine Endpoint Central (RMM legítimo abusado)
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Posible (a través del RMM instalado)
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance geográfico
|ALTO
|10+ países, 80% de víctimas en Malasia
|-
|Tasa de éxito
|MEDIA-ALTA
|Basada en ingeniería social y compromiso de cuentas de confianza
|-
|Acceso remoto
|MUY ALTO
|Instalación de RMM legítimo con control total
|-
|Persistencia
|ALTA
|El agente RMM proporciona acceso continuado
|-
|Detección
|BAJA
|Uso de herramientas legítimas y scripts ofuscados
|}

=== Consecuencias para la víctima ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Control remoto del sistema
|Crítica
|El atacante puede acceder, controlar y monitorear el dispositivo
|-
|Robo de datos
|Alta
|A través del RMM, el atacante puede acceder a cualquier archivo
|-
|Propagación a contactos
|Alta
|La cuenta comprometida se usa para distribuir malware a más víctimas
|-
|Acceso continuado
|Alta
|El RMM permanece instalado incluso después de reinicios
|-
|Uso en ataques posteriores
|Media
|Los sistemas comprometidos pueden ser utilizados como base para otros ataques
|}

=== Infraestructura de servidores UEMS ===
Las IPs de los servidores de ManageEngine Endpoint Central son:
{| class="wikitable"
!IP
!Observación
|-
|<code>202.61.160[.]208</code>
|—
|-
|<code>202.61.160[.]202</code>
|—
|-
|<code>202.61.160[.]201</code>
|Previamente asociada a ValleyRAT y Gh0st RAT
|-
|<code>202.61.160[.]160</code>
|—
|-
|<code>202.61.160[.]137</code>
|—
|-
|<code>38.55.151[.]63</code>
|—
|}
----

== Recomendaciones de Mitigación ==

=== Para usuarios ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|No abrir archivos adjuntos inesperados
|CRÍTICA
|Incluso si parecen venir de contactos conocidos (la cuenta puede estar comprometida)
|-
|Verificar con el remitente
|ALTA
|Contactar al remitente por otro canal para confirmar que envió el archivo
|-
|No ejecutar archivos VBS, VBE, JS, PS1
|CRÍTICA
|Especialmente si llegan a través de mensajería instantánea
|-
|Revisar aplicaciones instaladas
|ALTA
|Buscar instalaciones no autorizadas de ManageEngine Endpoint Central
|}

=== Para organizaciones ===
{| class="wikitable"
!Acción
!Descripción
|-
|Monitorear instalaciones de ManageEngine
|Detectar instalaciones no autorizadas del agente Endpoint Central
|-
|Educar a usuarios sobre phishing
|Incluir ejemplos de ataques a través de WhatsApp
|-
|Implementar MDM
|Controlar qué software puede instalarse en dispositivos corporativos
|-
|Monitorear tráfico a dominios sospechosos
|Bloquear acceso a <code>*.baskwms.top</code>, <code>*.msopsa.top</code>
|}

=== Pasos de remediación (para víctimas) ===
{| class="wikitable"
!Paso
!Descripción
|-
|1. Desinstalar ManageEngine Endpoint Central
|A través del Panel de Control o <code>msiexec /x</code>
|-
|2. Revocar acceso de la cuenta de WhatsApp
|Cerrar sesión en todos los dispositivos
|-
|3. Cambiar contraseña de WhatsApp
|Y habilitar verificación en dos pasos
|-
|4. Revisar mensajes enviados
|Notificar a contactos que podrían haber recibido malware
|-
|5. Escanear el sistema
|Con herramientas de seguridad actualizadas
|}

=== Script de verificación ===
powershell
 # Buscar instalaciones de ManageEngine Endpoint Central
 Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like "*ManageEngine*" }
 
 # Buscar tareas programadas sospechosas
 Get-ScheduledTask | Where-Object { $_.TaskName -like "*OneDrive*" -or $_.TaskName -like "*MicrosoftUpdate*" }
 
 # Buscar directorios VBS ocultos en Public
 Get-ChildItem -Path "C:\Users\Public\Documents" -Force -Recurse | Where-Object { $_.Extension -match "\.vbs|\.vbe" -and $_.Attributes -match "Hidden|System" }
----

== Contexto Más Amplio: El Ecosistema de Ataques a Través de Mensajería ==
{| class="wikitable"
!Campaña
!Plataforma
!Técnica
!Año
|-
|WhatsApp VBScript Campaign
|WhatsApp
|VBScript + RMM legítimo
|2026
|-
|UNC3753
|Vishing (llamadas telefónicas)
|Ingeniería social + RMM
|2026
|-
|Miasma
|GitHub/npm/PyPI
|Cadena de suministro
|2026
|-
|SharkLoader
|Múltiples
|Explotación de vulnerabilidades
|2026
|}
Patrón: El uso de herramientas RMM legítimas se está convirtiendo en un vector de ataque común, permitiendo a los atacantes:

# Evadir detección por antivirus (software firmado y legítimo)
# Obtener acceso remoto persistente sin desplegar malware personalizado
# Mantener acceso incluso después de que los scripts iniciales sean eliminados

----

== Referencias y Fuentes ==

# Kaspersky GReAT. (2026, 22 de junio). ''A VBScript campaign distributed through WhatsApp deploying RMM software''.
# Kaspersky Press Release. (2026, 22 de junio). ''WhatsApp VBScript campaign deploying ManageEngine Endpoint Central''.
# Help Net Security. (2026, 22 de junio). ''WhatsApp VBScript campaign deploys RMM software''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-26
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en el informe de Kaspersky GReAT
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Hashes MD5 - VBScript Inicial (Stage 1) ===
{| class="wikitable"
!Hash
!Nombre de Archivo
|-
|<code>c7f38cbb99c8b74fa0465293feeba700</code>
|Financial Reports.vbs
|-
|<code>b7cd06c71465038b658a6dc1f273a507</code>
|Debt confirmation.vbs
|-
|<code>9f13c7b8ba391b2f597874e54d310648</code>
|Electronic statement(A).vbs
|-
|<code>993f4c0cadbc769a4b0ed62a918db58d</code>
|Financial Reports(s).vbs
|-
|<code>7f81c1bc8cfd588e8998968e2621456e</code>
|Outstanding Payment List.vbs
|-
|<code>7403cbcc5a9c32384d431856dc48fcc9</code>
|Statement of debt (4).vbs
|-
|<code>68c16c46f8afb9e00bbaba0207fb0a46</code>
|Debt Note (2).vbs
|-
|<code>66442f2457eca8f47385b1fb2c6fcab8</code>
|Statement of Debt(30K).vbs
|-
|<code>6359e6236471cbe434d0ef4c42b7f879</code>
|Applicationform1.vbs
|-
|<code>5b6bbcc06cf08cc99e1afeda486d42fb</code>
|Extrato de Conciliação.vbs
|-
|<code>5002eca748205d544618e3bd2dedc223</code>
|Statement of Debt(29K).vbs
|-
|<code>4f0593e8e0e8fac49429e9b45ebf7fa1</code>
|Outstanding Payment List.vbs
|-
|<code>4044e4b6471c9de7b0a4ba37d9d9df9a</code>
|billing statement (2).vbs
|-
|<code>20209b3a32769afc6a75694b8d8839dd</code>
|Statement of Debt(A).vbs
|-
|<code>0ba93109757776a44de9d8c88baa4963</code>
|Financial Reports(C1).vbs
|-
|<code>02bb20455cc592a69c080abac770ce90</code>
|Le formulaire de demande le plus récent.vbs
|-
|<code>6c39900d77dcba158e1d27c7619cb06d</code>
|Outstanding Balance Sheet(A).vbs
|-
|<code>dad708e050632a4280cabf98ac1376b7</code>
|Outstanding Balance Sheet.vbs
|-
|<code>05d188f071d097f5b6bd8138749b4b14</code>
|Penyata bank.vbs
|-
|<code>2c6f05f1f309d89b2236e6c8b59c88f9</code>
|Account Statement(13K)(2).vbs
|-
|<code>3b1aba44dd3d9b6339b6f56e2f42034b</code>
|Statement of Account.txt
|-
|<code>d43fdaa1f0ee09d7e5f0f94ee9df7b6c</code>
|Bitte füllen Sie das Formular für Umsatzsteuer-Nullsatz-Verkäufe aus.vbs
|-
|<code>df4fa0369eaca5cec348be293890d4af</code>
|Account Statement.vbs
|-
|<code>63ac85195b73753333316a889cf5880f</code>
|Statement of Account(O).vbs
|-
|<code>74fd9f91fc93b6288b4fc253ea5b3e20</code>
|Sila semak bil anda.vbs
|-
|<code>d06333c360b51456f427e616c3c5f8bd</code>
|Sila semak bil anda.vbs
|-
|<code>1d94fbe9cab21278cc3f104bea334d08</code>
|Promissory_Note(b).vbs
|-
|<code>9d9ac85765e4a818a3ccabe2cf4fef82</code>
|Debt Statement.vbs
|}

=== Hashes MD5 - VBScript Obfuscado (Variantes) ===
{| class="wikitable"
!Hash
!Nombre de Archivo
|-
|<code>6fb6a55424adfb61e31f06aef33273e5</code>
|dfjieya.vbs
|-
|<code>f90ed4b2d0b67114aa89ddfed658e5c0</code>
|dfjieya.vbs
|-
|<code>8c3322009b8982663c0cbecd9492e7eb</code>
|0lf.vbs
|-
|<code>66705384a7ad81d14c34fc6c054a0ecf</code>
|iowepv.vbs
|-
|<code>8c6d9fc389ad3f20ccbc71d77eb39bfa</code>
|btksfmsi.vbs
|-
|<code>1a3cc75466ffb1971482f7abf7aabc3f</code>
|home3.vbs
|-
|<code>1c47c63e5ed25060d95359c57c77b107</code>
|zipats.vbs
|-
|<code>31037a42ca048e06e69a78f55bc2eff5</code>
|1122.vbs
|-
|<code>7f16449cd0c4862d1eadf8a5742bf09a</code>
|payload_1.vbs
|-
|<code>79ecd61b09b0f2d54b34586c916c4ec9</code>
|sac8.vbs
|-
|<code>7849061c536a3efb05a56d504694e7e7</code>
|6oy.vbs
|-
|<code>ddaffe9849f7f3c79f8804adb9a6b3d5</code>
|kof.vbs
|-
|<code>d01cad98dd0d01b75e04e784953c5e2b</code>
|sleestak_payload_1.vbs
|}

=== Dominios y URLs ===
{| class="wikitable"
!Tipo
!Indicador
|-
|Dominio
|<code>temu.baskwms[.]top</code>
|-
|Dominio
|<code>invoice.msopsa[.]top</code>
|-
|Dominio
|<code>qse.shoppes[.]help</code>
|-
|Dominio
|<code>shaaslong[.]one</code>
|-
|Dominio
|<code>baoxis[.]cc</code>
|-
|URL (Alibaba OSS)
|<code>baolongwes.oss-ap-southeast-1.aliyuncs[.]com</code>
|-
|URL (Alibaba OSS)
|<code>sdcwww.oss-ap-southeast-1.aliyuncs[.]com</code>
|-
|URL (AWS S3)
|<code>baoyuw2s.s3.ap-southeast-1.amazonaws[.]com</code>
|-
|URL (AWS S3)
|<code>hksha3.s3.ap-southeast-1.amazonaws[.]com</code>
|-
|URL (AWS S3)
|<code>sjdkjj23.s3.ap-southeast-1.amazonaws[.]com</code>
|-
|URL (AWS S3)
|<code>xijkwm2.s3.ap-southeast-1.amazonaws[.]com</code>
|-
|URL (AWS S3)
|<code>yifubafu.s3.ap-southeast-1.amazonaws[.]com</code>
|-
|URL (Backblaze B2)
|<code>caiwuascw.s3.us-east-005.backblazeb2[.]com</code>
|-
|URL (Backblaze B2)
|<code>facaia.s3.us-east-005.backblazeb2[.]com</code>
|}

=== IPs de Servidores UEMS (C2) ===
{| class="wikitable"
!IP
!Observación
|-
|<code>202.61.160[.]202</code>
|Servidor de ManageEngine Endpoint Central
|-
|<code>202.61.160[.]201</code>
|Previamente asociada a ValleyRAT y Gh0st RAT
|-
|<code>202.61.160[.]137</code>
|Servidor de ManageEngine Endpoint Central
|-
|<code>202.61.160[.]160</code>
|Servidor de ManageEngine Endpoint Central
|-
|<code>202.61.160[.]208</code>
|Servidor de ManageEngine Endpoint Central
|-
|<code>38.55.151[.]63</code>
|Servidor de ManageEngine Endpoint Central
|}

=== Archivos y Componentes ===
{| class="wikitable"
!Archivo
!Descripción
|-
|<code>DCAgentServerInfo.json</code>
|Configuración del servidor con IPs y puertos
|-
|<code>DMRootCA.crt</code>
|Certificado raíz de confianza
|-
|<code>DMRootCA-Server.crt</code>
|Certificado de autenticación del servidor
|-
|<code>setup.bat</code>
|Instalador legítimo (no utilizado)
|-
|<code>setup1.vbs</code>
|Script malicioso que inicia la instalación silenciosa
|-
|<code>UEMSAgent.msi</code>
|Instalador del agente de Endpoint Central
|-
|<code>UEMSAgent.mst</code>
|Configuración personalizada para la instalación
|}
----

== Comportamiento Anómalo a Monitorear ==
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Archivos adjuntos
|Recepción de archivos VBS/VBE a través de WhatsApp de contactos conocidos
|-
|Procesos
|<code>WScript.exe</code> ejecutado desde el directorio de almacenamiento de WhatsApp Desktop
|-
|Directorios
|Creación de directorios ocultos en <code>C:\Users\Public\Documents\</code> con nombres aleatorios
|-
|Registro
|Modificación de <code>ConsentPromptBehaviorAdmin</code>
|-
|Instalaciones
|Instalación no autorizada de ManageEngine Endpoint Central
|-
|Tráfico de red
|Conexiones a <code>*.baskwms.top</code>, <code>*.msopsa.top</code> o IPs <code>202.61.160.*</code>
|-
|Descargas
|Uso de <code>curl.exe</code>, <code>bitsadmin.exe</code> o <code>certutil.exe</code> para descargar archivos
|}
----

== Etiquetas / Categorías ==
 whatsapp-vbs-campaign vbs-malware rmm-abuse manageengine-endpoint-central whatsapp-account-compromise financial-themed-phishing multi-language-phishing uac-bypass wscript-dll-sideloading malware-distribution malaysia-cyberattack valleyrat-infrastructure gh0st-rat-overlap