Campaña BH Alert: Aplicación Falsa de Alerta de Emergencia Despliega Malware de Vigilancia en Android (2026)

Nombres Alternativos / Aliases

• BH Alert Campaign (Por el nombre de la aplicación maliciosa)
• Bahrain Civil Defense Impersonation (Por la entidad suplantada)
• OctagonPanel RAT (Por el componente de acceso remoto)
• Ward Framework Campaign (Por el framework de vigilancia)
• Gulf State Emergency Alert Malware (Por la región objetivo)

---

Fecha de Detección / Actividad

• Fecha de análisis inicial (Dream Research Labs) : 17 de julio de 2026
• Publicación del informe: 20 de julio de 2026
• Publicación en medios: 22-23 de julio de 2026
• Período de distribución: Julio de 2026 (durante activación de sirenas civiles en el Golfo)
• Países objetivo: Baréin, Kuwait y otros estados del Golfo
• Estado: Activa (en el momento del informe)

---

Actor de Amenaza (Atribución)

Característica	Detalle
Nombre del Actor	Desconocido (atribución no confirmada)
Vínculo Gubernamental	No establecido
Tipo de Actor	Ciberespionaje / Ciberdelincuencia
Sofisticación	ALTA. Los actores demuestran:

• Cadena de infección de cuatro etapas con ofuscación avanzada
• Uso de RC4 y AES-256-GCM para cifrar payloads y comunicaciones
• Payloads ocultos en archivos de fuente (.ttf) y .jar
• Capacidad para interrumpir la conectividad de red del dispositivo y forzar la instalación
• Técnicas de persistencia sofisticadas (watchdogs, AlarmManager, WorkManager)
• Clonación precisa de Google Play y portales gubernamentales  | | Motivación | Ciberespionaje / Robo de Credenciales | | Objetivo regional | Estados del Golfo (Baréin, Kuwait) |

---

Resumen Ejecutivo

El 17 de julio de 2026, investigadores de Dream Research Labs (una empresa de ciberseguridad especializada en defensa nacional) identificaron una campaña de malware dirigida a usuarios de Android en Baréin y otros estados del Golfo . La campaña utiliza una aplicación maliciosa denominada "BH Alert", que se hace pasar por una aplicación oficial de alerta de emergencia de la Defensa Civil de Baréin .

Contexto geopolítico

La campaña explota el miedo y la urgencia generados por las tensiones regionales, incluyendo ataques con misiles iraníes que han activado sirenas de defensa civil en Baréin y Kuwait durante julio de 2026 . Durante estos eventos, la demanda de instalación de aplicaciones oficiales de alerta de emergencia aumenta drásticamente .

El engaño

Los atacantes han creado una red de dominios de aspecto idéntico que clonan Google Play Store y sitios web oficiales del gobierno de Baréin . Las páginas fraudulentas incluyen:

Elemento de Engaño	Descripción
Dominios falsos	playgoogle[.]alertbh[.]com, download[.]alert-bh[.]com, download[.]bh-security[.]com
Imagen de marca	Logotipos de Defensa Civil de Baréin, Ministerio del Interior y Autoridad de Información y Gobierno Electrónico
Falsas métricas de confianza	Más de 100,000 descargas, reseñas falsas, etiqueta "Verificado por Play Protect"
Idioma	Contenido bilingüe (inglés/árabe) que aumenta la legitimidad
Referencias falsas	Menciones a la UNDRR (Oficina de la ONU para la Reducción del Riesgo de Desastres)
Animación de instalación falsa	Secuencia simulada de "Instalando" y "Instalado" de 11.9 segundos antes de la descarga del APK

El vector de distribución

Los investigadores no identificaron un vector de distribución inicial directo, pero creen que los enlaces se propagan a través de smishing (SMS) y mensajes compartidos en redes sociales y aplicaciones de mensajería .

---

Cadena de Infección en Cuatro Etapas

Resumen del flujo de ejecución

Etapa	Descripción
Etapa 0	APK inicial (com.old.stem.Ematterassist) descifra un archivo de fuente RC4 (ZfChs.ttf) para inyectar código DEX en la aplicación
Etapa 1	La aplicación de configuración (com.kit.kitty) solicita permisos de VPN y "Instalar aplicaciones desconocidas" e interrumpe el tráfico de red para forzar la instalación del segundo APK
Etapa 2	El segundo APK (biz.rely.melt.Hvoicemanual) descifra otro payload RC4 oculto en un archivo .jar
Etapa 3	El RAT principal (com.kisa.octagonpanel / OctagonPanel) se activa y establece vigilancia persistente

Etapa 1: El mecanismo de coacción

El servicio VPN (FenrirVpnService) en la Etapa 1 es una técnica clave de coerción :

• Bloquea la mayor parte del tráfico de red de la víctima, dejando el dispositivo casi inoperable .
• Muestra una notificación persistente que pide al usuario "completar la configuración" .
• Si la víctima no completa la configuración en 15 minutos, el túnel VPN se cierra automáticamente para preservar el pretexto de "servicio técnico" y permitir un nuevo intento .

---

Capacidades del Payload Principal (OctagonPanel RAT)

Una vez que OctagonPanel obtiene los permisos de Accesibilidad, SMS y Contactos, se convierte en una potente plataforma de vigilancia :

Capacidad	Descripción
Captura de Credenciales	Roba PINs de bloqueo, contraseñas de cuentas y credenciales de aplicaciones (especialmente bancarias) mediante superposiciones de phishing
Intercepción de SMS	Captura todos los SMS, incluyendo códigos de autenticación de un solo uso (OTP)
Captura de Pantalla	Toma capturas de pantalla de la actividad del dispositivo
Vigilancia de la UI	Monitorea la interfaz de usuario en tiempo real a través de los Servicios de Accesibilidad para reaccionar ante acciones de la víctima
Control Remoto	Controla el dispositivo de forma remota y en tiempo real, ejecutando comandos
Exfiltración de Datos	Roba contactos, registros de llamadas, aplicaciones instaladas
Persistencia	Mantiene el acceso después del reinicio mediante servicios watchdog, AlarmManager y WorkManager

Comunicación C2

• Cifrado: Los datos exfiltrados se cifran con AES-256-GCM antes de ser enviados .
• Clave: La clave de cifrado se deriva de la frase octagon-default-key-change-me mediante SHA-256 .
• C2: El servidor de comando y control está en 209.99.184.50:4444 .
• Heartbeat: El malware mantiene una conexión con el C2 mediante un heartbeat de ~5 segundos, un patrón de tráfico detectable .

---

Impacto y Riesgo

Categoría	Nivel	Descripción
Alcance	ALTO	Dirigido a usuarios de Baréin y Kuwait durante tensiones regionales activas
Técnicas de Evasión	MUY ALTA	Payloads en múltiples capas, cifrados RC4/AES, ofuscación
Privilegios Requeridos	MUY ALTOS	Permisos para Servicios de Accesibilidad, VPN, SMS, y Contactos
Riesgo para Infraestructura Crítica	ALTO	El compromiso de dispositivos en personal de defensa/gobierno podría dar acceso a redes corporativas
Detección	BAJA	El tráfico parece benigno, el engaño es de alta calidad

Consecuencias para las Víctimas

Consecuencia	Gravedad	Detalle
Robo de Credenciales	Crítica	Contraseñas bancarias y PINs robados, permitiendo robo directo de fondos
Compromiso de MFA	Crítica	Captura de códigos OTP, permitiendo bypass de autenticación multifactor
Vigilancia	Alta	Monitoreo completo de mensajes, contactos, llamadas y actividad del dispositivo
Control Remoto	Alta	Los atacantes pueden ejecutar acciones en el dispositivo en tiempo real

---

Recomendaciones de Mitigación

Para Usuarios en el Golfo

Acción	Prioridad	Descripción
Descargar solo de Google Play oficial	CRÍTICA	Instalar aplicaciones de emergencia ÚNICAMENTE desde la tienda oficial de Google
No confiar en enlaces de SMS o redes	CRÍTICA	No instalar aplicaciones desde enlaces enviados por mensaje de texto, WhatsApp, o redes sociales
Verificar la URL de Google Play	CRÍTICA	La URL real de Google Play es play.google.com; verificar si hay palabras o caracteres adicionales
Verificar permisos de aplicaciones	ALTA	Una aplicación de alerta de emergencia no debería necesitar permisos de Accesibilidad, SMS, o Contactos

Para Organizaciones

Acción	Descripción
Usar una solución MDM	Aplicar políticas de seguridad móvil, bloquear el sideloading, y restringir la instalación de aplicaciones a fuentes aprobadas
Monitoreo de Red	Detectar el tráfico de heartbeat de 5 segundos desde dispositivos móviles
Educación de Usuarios	Informar a los empleados (especialmente a los que trabajan con defensa y gobierno) sobre la campaña BH Alert
Revisar permisos de aplicaciones	Auditoría de aplicaciones instaladas para detectar las que abusan de permisos de Alto Riesgo

---

Opiniones de Expertos

"Impersonating one of these apps in the middle of a live conflict is one of the most efficient ways to be trusted on a target’s device. The malware does not have to break anything. It just needs to impersonate an official app to be granted access, and fear does the rest." — Dream Research Labs

"A compromised employee smartphone could potentially be used to bypass multifactor authentication (MFA) protections and gain access to corporate applications." — Dream Research Labs

"Network monitoring can help detect this malware once active, since it phones home on a steady ~5-second heartbeat — an anomaly that stands out as a consistent, identifiable traffic pattern, detectable even without decrypting the traffic itself." — Portavoz de Dream Research Lab

---

Referencias y Fuentes

1. Gulf Daily News. (2026, 21 de julio). Fake alert app warning.
2. Culafi, A. (2026, 23 de julio). Fake Bahrain Alert App Deploys Android Surveillance Malware. Dark Reading.
3. CyberSecurityNews. (2026, 22 de julio). Fake Bahrain Civil Defense App Deploys Android RAT to Steal PINs, OTPs, and Banking Credentials.
4. Dream Research Labs. (2026, 20 de julio). How a Fake Bahrain Civil-Defense App Turns a Phone Into a Listening Post. Dream Security Blog.
5. CN-SEC. (2026, 23 de julio). 警报为饵，手机成监听站：巴林虚假预警应用BH Alert简析.

---

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-07-23	1.0	Fernando Vargas Hincapié	Creación inicial basada en análisis de Dream Research Labs, Dark Reading y CyberSecurityNews

---

Indicadores de Compromiso (IOCs)

Dominios Maliciosos

Dominio	Propósito
playgoogle[.]alertbh[.]com	Página de suplantación de Google Play
download[.]alert-bh[.]com	Página de suplantación de Google Play con animación de 11.9 segundos
download[.]alertbh[.]info	Página de suplantación de Google Play (descarga directa)
download[.]bh-security[.]com	Portal gubernamental suplantado

IPs y Puertos C2

Indicador	Propósito
209.99.184.50:4444	Servidor C2 de OctagonPanel/Ward

Nombres de Paquetes Maliciosos

Paquete	Etapa
com.old.stem.Ematterassist	Etapa 0 - Descifrador inicial
com.kit.kitty	Etapa 1 - Coercitivo
biz.rely.melt.Hvoicemanual	Etapa 2 - Descifrador secundario
com.kisa.octagonpanel	Etapa 3 - RAT principal

Archivos Clave

Archivo	Propósito
ZfChs.ttf	Archivo de fuente que contiene payload cifrado con RC4
payload.base	APK secundario descargado durante la Etapa 1
ZGdSEl.jar	Archivo JAR que contiene payload final

Claves Criptográficas

Tipo	Valor
Clave RC4 (Etapa 0)	ct
Clave RC4 (Etapa 2)	NYrGT
Clave C2 (AES-256-GCM)	octagon-default-key-change-me (SHA-256 derivado)

Comportamiento a Monitorear

Comportamiento	Descripción
Heartbeat C2	Tráfico saliente que ocurre aproximadamente cada 5 segundos
Servicio VPN Interrumpido	Aplicación que solicita permisos de VPN y luego bloquea tráfico de red de otras aplicaciones
Permisos de Accesibilidad	Aplicación que solicita Servicios de Accesibilidad después de la instalación
Archivos de Fuente en Aplicaciones	Aplicaciones con archivos .ttf excepcionalmente grandes

---

Etiquetas / Categorías

bh-alert octagonpanel-rat ward-framework android-malware surveillance-malware bahrain-civil-defense impersonation emergency-alert-phishing smishing-campaign gulf-state-cyberattack android-spyware banking-trojan credential-theft mfa-bypass four-stage-payload rc4-encryption ttf-payload-hiding