Nombres Alternativos / Aliases
- WhatsApp VBScript Campaign (Por el vector de distribución)
- WhatsApp RMM Dropper (Por el payload final)
- ManageEngine Endpoint Central Abuse Campaign (Por el software abusado)
- WhatsApp Account Compromise Campaign (Por el método de propagación)
Fecha de Detección / Actividad
- Fecha de detección: Junio de 2026
- Período de actividad: Junio de 2026 (activa al momento del informe)
- Países afectados: Malasia, Brasil, India, México, Singapur, Reino Unido, España, Taiwán, Australia, Rusia y Vietnam
- Distribución de víctimas: 80% en Malasia
- Estado: Activa (continúa operando)
Actor de Amenaza (Atribución)
- Nombre del Actor: Desconocido (sin atribución a grupo conocido)
- Atribución preliminar: Operador de habla china (confianza baja)
- Indicadores de origen:
- Comentarios y metadatos en scripts escritos en chino simplificado
- Referencias a módulos de Windows Update en chino
- Vínculo Gubernamental: No establecido
- Tipo de Actor: Ciberdelincuencia (posiblemente inicial)
- Sofisticación: MEDIA. El grupo demuestra:
- Compromiso de cuentas de WhatsApp (método desconocido)
- Ingeniería social multilingüe (múltiples idiomas en señuelos)
- Uso de múltiples mecanismos de descarga (curl, bitsadmin, PowerShell)
- Abuso de software legítimo (ManageEngine Endpoint Central) como RMM
- Ofuscación básica (concatenación, variables aleatorias, junk content)
Resumen Ejecutivo
En junio de 2026, investigadores de Kaspersky GReAT identificaron una campaña de malware activa que distribuye scripts VBScript maliciosos a través de mensajes directos de WhatsApp. La campaña ha afectado a usuarios en más de 10 países, con la mayor concentración de víctimas en Malasia (80%).
Mecanismo de distribución
Los atacantes comprometieron cuentas de WhatsApp de usuarios legítimos y utilizaron esas cuentas para enviar archivos VBScript maliciosos a los contactos de la lista de la víctima. Los mensajes contenían solo el archivo adjunto, sin texto acompañante, y un mismo remitente enviaba el mismo archivo a múltiples contactos.
"Un mismo remitente envió el mismo archivo adjunto a múltiples contactos de su lista."
El engaño: ingeniería social financiera
El éxito de la campaña se basa en nombres de archivo engañosos que imitan documentos empresariales y financieros:
| Categoría
|
Ejemplos
|
| Inglés
|
Financial Reports.vbs, Debt confirmation.vbs, Outstanding Payment List.vbs
|
| Portugués
|
Extrato de Conciliação.vbs, Aviso de dívida.vbs
|
| Alemán
|
Bitte füllen Sie das Formular für Umsatzsteuer-Nullsatz-Verkäufe aus.vbs
|
| Malayo
|
Penyata bank.vbs, Sila semak bil anda.vbs
|
| Francés
|
Le formulaire de demande le plus récent.vbs
|
Cadena de infección
- El usuario recibe un archivo VBScript adjunto en WhatsApp
- Dos interacciones necesarias:
- Descargar el archivo (clic en el adjunto)
- Abrir el archivo (ejecutarlo)
- Stage 1: El VBScript crea un directorio oculto, descarga dos scripts adicionales
- Stage 2: Los scripts descargados modifican la configuración de UAC y descargan un ZIP
- Stage 3: El ZIP contiene el instalador de ManageEngine Endpoint Central (RMM legítimo) preconfigurado
- Resultado final: El atacante obtiene acceso remoto persistente al sistema de la víctima
Payload final: Abuso de software legítimo
La campaña instala silenciosamente ManageEngine Endpoint Central, un software de administración remota legítimo, en los sistemas de las víctimas. Este software permite al atacante:
- Acceso remoto completo al sistema
- Monitoreo de actividad del usuario
- Control total del equipo comprometido
Infraestructura
Los archivos maliciosos se descargan desde:
- Dominios personalizados:
temu.baskwms[.]top, invoice.msopsa[.]top
- Servicios de almacenamiento en la nube: Buckets de Alibaba Cloud OSS, AWS S3 y Backblaze B2
Los servidores de gestión del RMM se alojan en IPs de Taiwán, incluyendo 202.61.160.201, que se ha observado previamente en infraestructura asociada a ValleyRAT y Gh0st RAT.
Vector de Ataque / Método de Distribución
Vector principal: Compromiso de cuentas de WhatsApp
| Fase
|
Descripción
|
| Compromiso inicial
|
Método desconocido (posible phishing, robo de cookies/sesiones, SIM swapping)
|
| Propagación
|
El atacante usa la cuenta comprometida para enviar el VBScript a contactos
|
| Ingeniería social
|
Nombres de archivo financieros y documentos empresariales
|
| Ejecución
|
El usuario debe descargar y abrir el archivo manualmente
|
Proceso de infección técnica
Stage 1: VBScript inicial
- El script crea un directorio en
C:\Users\Public\Documents\ con nombre aleatorio (Temp_<random> o MSUpdate_<random>)
- Configura el directorio y archivos con atributos ocultos y de sistema
- Descarga dos scripts VBS adicionales desde la infraestructura del atacante
- Utiliza múltiples mecanismos de descarga:
curl.exe (renombrado con nombre de DLL)bitsadmin.exe (renombrado)certutil.exe- PowerShell
- Solicitudes HTTP directas
Stage 2: Scripts secundarios
| Script
|
Función
|
| Script 1
|
Modifica ConsentPromptBehaviorAdmin en el registro para deshabilitar las solicitudes de UAC
|
| Script 2
|
Descarga un archivo ZIP que contiene el paquete de instalación de ManageEngine Endpoint Central
|
Stage 3: Instalación del RMM
- El script
setup1.vbs verifica que todos los archivos de instalación estén presentes
- Solicita privilegios de administrador con
runas
- Instala silenciosamente el agente de Endpoint Central mediante
msiexec.exe
- La instalación utiliza certificados y configuraciones predefinidas (DCAgentServerInfo.json, DMRootCA.crt)
Detección y evasión
| Técnica de evasión
|
Descripción
|
| Atributos ocultos
|
Directorios y archivos configurados con atributos +h +s
|
| Nombres de archivo engañosos
|
Extensiones PDF/TXT que son renombradas a VBS
|
| Comentarios falsos
|
Metadatos que imitan módulos legítimos de Windows Update (en chino)
|
| Ofuscación
|
Concatenación de caracteres, variables aleatorias, junk content
|
| Eliminación de Zone.Identifier
|
Elimina las marcas de "archivo descargado de Internet"
|
| Silencio de instalación
|
El RMM se instala sin mostrar interfaz al usuario
|
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Phishing: Spearphishing via Service (T1566.003)
|
Envío de archivos maliciosos a través de cuentas de WhatsApp comprometidas
|
| Execution (TA0002)
|
User Execution: Malicious File (T1204.002)
|
Usuario abre el archivo VBScript adjunto
|
| Execution (TA0002)
|
Command and Scripting Interpreter: VBScript (T1059.005)
|
Ejecución de scripts VBScript a través de WScript.exe
|
| Persistence (TA0003)
|
Scheduled Task/Job (T1053.005)
|
Tareas programadas para reinstalación (no confirmado en todos los casos)
|
| Persistence (TA0003)
|
Server Software Component (T1505)
|
Instalación de agente de ManageEngine Endpoint Central
|
| Privilege Escalation (TA0004)
|
Abuse Elevation Control Mechanism (T1548)
|
Modificación de UAC (ConsentPromptBehaviorAdmin=0)
|
| Defense Evasion (TA0005)
|
Masquerading (T1036)
|
Nombres de archivo que imitan documentos financieros
|
| Defense Evasion (TA0005)
|
Obfuscated Files or Information (T1027)
|
Ofuscación de scripts (concatenación, variables aleatorias)
|
| Defense Evasion (TA0005)
|
Hidden Files and Directories (T1564.001)
|
Directorios y archivos ocultos con atributos +h +s
|
| Defense Evasion (TA0005)
|
Modify Registry (T1112)
|
Modificación de clave de UAC
|
| Defense Evasion (TA0005)
|
Masquerade as Legitimate Windows Component
|
Comentarios falsos de Windows Update en chino
|
| Command and Control (TA0011)
|
Application Layer Protocol: Web Protocols (T1071.001)
|
Descarga de scripts y archivos ZIP a través de HTTP/HTTPS
|
| Command and Control (TA0011)
|
Remote Access Software (T1219)
|
ManageEngine Endpoint Central (RMM legítimo abusado)
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Posible (a través del RMM instalado)
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Alcance geográfico
|
ALTO
|
10+ países, 80% de víctimas en Malasia
|
| Tasa de éxito
|
MEDIA-ALTA
|
Basada en ingeniería social y compromiso de cuentas de confianza
|
| Acceso remoto
|
MUY ALTO
|
Instalación de RMM legítimo con control total
|
| Persistencia
|
ALTA
|
El agente RMM proporciona acceso continuado
|
| Detección
|
BAJA
|
Uso de herramientas legítimas y scripts ofuscados
|
Consecuencias para la víctima
| Consecuencia
|
Gravedad
|
Detalle
|
| Control remoto del sistema
|
Crítica
|
El atacante puede acceder, controlar y monitorear el dispositivo
|
| Robo de datos
|
Alta
|
A través del RMM, el atacante puede acceder a cualquier archivo
|
| Propagación a contactos
|
Alta
|
La cuenta comprometida se usa para distribuir malware a más víctimas
|
| Acceso continuado
|
Alta
|
El RMM permanece instalado incluso después de reinicios
|
| Uso en ataques posteriores
|
Media
|
Los sistemas comprometidos pueden ser utilizados como base para otros ataques
|
Infraestructura de servidores UEMS
Las IPs de los servidores de ManageEngine Endpoint Central son:
| IP
|
Observación
|
202.61.160[.]208
|
—
|
202.61.160[.]202
|
—
|
202.61.160[.]201
|
Previamente asociada a ValleyRAT y Gh0st RAT
|
202.61.160[.]160
|
—
|
202.61.160[.]137
|
—
|
38.55.151[.]63
|
—
|
Recomendaciones de Mitigación
Para usuarios
| Acción
|
Prioridad
|
Descripción
|
| No abrir archivos adjuntos inesperados
|
CRÍTICA
|
Incluso si parecen venir de contactos conocidos (la cuenta puede estar comprometida)
|
| Verificar con el remitente
|
ALTA
|
Contactar al remitente por otro canal para confirmar que envió el archivo
|
| No ejecutar archivos VBS, VBE, JS, PS1
|
CRÍTICA
|
Especialmente si llegan a través de mensajería instantánea
|
| Revisar aplicaciones instaladas
|
ALTA
|
Buscar instalaciones no autorizadas de ManageEngine Endpoint Central
|
Para organizaciones
| Acción
|
Descripción
|
| Monitorear instalaciones de ManageEngine
|
Detectar instalaciones no autorizadas del agente Endpoint Central
|
| Educar a usuarios sobre phishing
|
Incluir ejemplos de ataques a través de WhatsApp
|
| Implementar MDM
|
Controlar qué software puede instalarse en dispositivos corporativos
|
| Monitorear tráfico a dominios sospechosos
|
Bloquear acceso a *.baskwms.top, *.msopsa.top
|
Pasos de remediación (para víctimas)
| Paso
|
Descripción
|
| 1. Desinstalar ManageEngine Endpoint Central
|
A través del Panel de Control o msiexec /x
|
| 2. Revocar acceso de la cuenta de WhatsApp
|
Cerrar sesión en todos los dispositivos
|
| 3. Cambiar contraseña de WhatsApp
|
Y habilitar verificación en dos pasos
|
| 4. Revisar mensajes enviados
|
Notificar a contactos que podrían haber recibido malware
|
| 5. Escanear el sistema
|
Con herramientas de seguridad actualizadas
|
Script de verificación
powershell
# Buscar instalaciones de ManageEngine Endpoint Central
Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like "*ManageEngine*" }
# Buscar tareas programadas sospechosas
Get-ScheduledTask | Where-Object { $_.TaskName -like "*OneDrive*" -or $_.TaskName -like "*MicrosoftUpdate*" }
# Buscar directorios VBS ocultos en Public
Get-ChildItem -Path "C:\Users\Public\Documents" -Force -Recurse | Where-Object { $_.Extension -match "\.vbs|\.vbe" -and $_.Attributes -match "Hidden|System" }
Contexto Más Amplio: El Ecosistema de Ataques a Través de Mensajería
| Campaña
|
Plataforma
|
Técnica
|
Año
|
| WhatsApp VBScript Campaign
|
WhatsApp
|
VBScript + RMM legítimo
|
2026
|
| UNC3753
|
Vishing (llamadas telefónicas)
|
Ingeniería social + RMM
|
2026
|
| Miasma
|
GitHub/npm/PyPI
|
Cadena de suministro
|
2026
|
| SharkLoader
|
Múltiples
|
Explotación de vulnerabilidades
|
2026
|
Patrón: El uso de herramientas RMM legítimas se está convirtiendo en un vector de ataque común, permitiendo a los atacantes:
- Evadir detección por antivirus (software firmado y legítimo)
- Obtener acceso remoto persistente sin desplegar malware personalizado
- Mantener acceso incluso después de que los scripts iniciales sean eliminados
Referencias y Fuentes
- Kaspersky GReAT. (2026, 22 de junio). A VBScript campaign distributed through WhatsApp deploying RMM software.
- Kaspersky Press Release. (2026, 22 de junio). WhatsApp VBScript campaign deploying ManageEngine Endpoint Central.
- Help Net Security. (2026, 22 de junio). WhatsApp VBScript campaign deploys RMM software.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-06-26
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en el informe de Kaspersky GReAT
|
Indicadores de Compromiso (IOCs)
Hashes MD5 - VBScript Inicial (Stage 1)
| Hash
|
Nombre de Archivo
|
c7f38cbb99c8b74fa0465293feeba700
|
Financial Reports.vbs
|
b7cd06c71465038b658a6dc1f273a507
|
Debt confirmation.vbs
|
9f13c7b8ba391b2f597874e54d310648
|
Electronic statement(A).vbs
|
993f4c0cadbc769a4b0ed62a918db58d
|
Financial Reports(s).vbs
|
7f81c1bc8cfd588e8998968e2621456e
|
Outstanding Payment List.vbs
|
7403cbcc5a9c32384d431856dc48fcc9
|
Statement of debt (4).vbs
|
68c16c46f8afb9e00bbaba0207fb0a46
|
Debt Note (2).vbs
|
66442f2457eca8f47385b1fb2c6fcab8
|
Statement of Debt(30K).vbs
|
6359e6236471cbe434d0ef4c42b7f879
|
Applicationform1.vbs
|
5b6bbcc06cf08cc99e1afeda486d42fb
|
Extrato de Conciliação.vbs
|
5002eca748205d544618e3bd2dedc223
|
Statement of Debt(29K).vbs
|
4f0593e8e0e8fac49429e9b45ebf7fa1
|
Outstanding Payment List.vbs
|
4044e4b6471c9de7b0a4ba37d9d9df9a
|
billing statement (2).vbs
|
20209b3a32769afc6a75694b8d8839dd
|
Statement of Debt(A).vbs
|
0ba93109757776a44de9d8c88baa4963
|
Financial Reports(C1).vbs
|
02bb20455cc592a69c080abac770ce90
|
Le formulaire de demande le plus récent.vbs
|
6c39900d77dcba158e1d27c7619cb06d
|
Outstanding Balance Sheet(A).vbs
|
dad708e050632a4280cabf98ac1376b7
|
Outstanding Balance Sheet.vbs
|
05d188f071d097f5b6bd8138749b4b14
|
Penyata bank.vbs
|
2c6f05f1f309d89b2236e6c8b59c88f9
|
Account Statement(13K)(2).vbs
|
3b1aba44dd3d9b6339b6f56e2f42034b
|
Statement of Account.txt
|
d43fdaa1f0ee09d7e5f0f94ee9df7b6c
|
Bitte füllen Sie das Formular für Umsatzsteuer-Nullsatz-Verkäufe aus.vbs
|
df4fa0369eaca5cec348be293890d4af
|
Account Statement.vbs
|
63ac85195b73753333316a889cf5880f
|
Statement of Account(O).vbs
|
74fd9f91fc93b6288b4fc253ea5b3e20
|
Sila semak bil anda.vbs
|
d06333c360b51456f427e616c3c5f8bd
|
Sila semak bil anda.vbs
|
1d94fbe9cab21278cc3f104bea334d08
|
Promissory_Note(b).vbs
|
9d9ac85765e4a818a3ccabe2cf4fef82
|
Debt Statement.vbs
|
Hashes MD5 - VBScript Obfuscado (Variantes)
| Hash
|
Nombre de Archivo
|
6fb6a55424adfb61e31f06aef33273e5
|
dfjieya.vbs
|
f90ed4b2d0b67114aa89ddfed658e5c0
|
dfjieya.vbs
|
8c3322009b8982663c0cbecd9492e7eb
|
0lf.vbs
|
66705384a7ad81d14c34fc6c054a0ecf
|
iowepv.vbs
|
8c6d9fc389ad3f20ccbc71d77eb39bfa
|
btksfmsi.vbs
|
1a3cc75466ffb1971482f7abf7aabc3f
|
home3.vbs
|
1c47c63e5ed25060d95359c57c77b107
|
zipats.vbs
|
31037a42ca048e06e69a78f55bc2eff5
|
1122.vbs
|
7f16449cd0c4862d1eadf8a5742bf09a
|
payload_1.vbs
|
79ecd61b09b0f2d54b34586c916c4ec9
|
sac8.vbs
|
7849061c536a3efb05a56d504694e7e7
|
6oy.vbs
|
ddaffe9849f7f3c79f8804adb9a6b3d5
|
kof.vbs
|
d01cad98dd0d01b75e04e784953c5e2b
|
sleestak_payload_1.vbs
|
Dominios y URLs
| Tipo
|
Indicador
|
| Dominio
|
temu.baskwms[.]top
|
| Dominio
|
invoice.msopsa[.]top
|
| Dominio
|
qse.shoppes[.]help
|
| Dominio
|
shaaslong[.]one
|
| Dominio
|
baoxis[.]cc
|
| URL (Alibaba OSS)
|
baolongwes.oss-ap-southeast-1.aliyuncs[.]com
|
| URL (Alibaba OSS)
|
sdcwww.oss-ap-southeast-1.aliyuncs[.]com
|
| URL (AWS S3)
|
baoyuw2s.s3.ap-southeast-1.amazonaws[.]com
|
| URL (AWS S3)
|
hksha3.s3.ap-southeast-1.amazonaws[.]com
|
| URL (AWS S3)
|
sjdkjj23.s3.ap-southeast-1.amazonaws[.]com
|
| URL (AWS S3)
|
xijkwm2.s3.ap-southeast-1.amazonaws[.]com
|
| URL (AWS S3)
|
yifubafu.s3.ap-southeast-1.amazonaws[.]com
|
| URL (Backblaze B2)
|
caiwuascw.s3.us-east-005.backblazeb2[.]com
|
| URL (Backblaze B2)
|
facaia.s3.us-east-005.backblazeb2[.]com
|
IPs de Servidores UEMS (C2)
| IP
|
Observación
|
202.61.160[.]202
|
Servidor de ManageEngine Endpoint Central
|
202.61.160[.]201
|
Previamente asociada a ValleyRAT y Gh0st RAT
|
202.61.160[.]137
|
Servidor de ManageEngine Endpoint Central
|
202.61.160[.]160
|
Servidor de ManageEngine Endpoint Central
|
202.61.160[.]208
|
Servidor de ManageEngine Endpoint Central
|
38.55.151[.]63
|
Servidor de ManageEngine Endpoint Central
|
Archivos y Componentes
| Archivo
|
Descripción
|
DCAgentServerInfo.json
|
Configuración del servidor con IPs y puertos
|
DMRootCA.crt
|
Certificado raíz de confianza
|
DMRootCA-Server.crt
|
Certificado de autenticación del servidor
|
setup.bat
|
Instalador legítimo (no utilizado)
|
setup1.vbs
|
Script malicioso que inicia la instalación silenciosa
|
UEMSAgent.msi
|
Instalador del agente de Endpoint Central
|
UEMSAgent.mst
|
Configuración personalizada para la instalación
|
Comportamiento Anómalo a Monitorear
| Categoría
|
Comportamiento
|
| Archivos adjuntos
|
Recepción de archivos VBS/VBE a través de WhatsApp de contactos conocidos
|
| Procesos
|
WScript.exe ejecutado desde el directorio de almacenamiento de WhatsApp Desktop
|
| Directorios
|
Creación de directorios ocultos en C:\Users\Public\Documents\ con nombres aleatorios
|
| Registro
|
Modificación de ConsentPromptBehaviorAdmin
|
| Instalaciones
|
Instalación no autorizada de ManageEngine Endpoint Central
|
| Tráfico de red
|
Conexiones a *.baskwms.top, *.msopsa.top o IPs 202.61.160.*
|
| Descargas
|
Uso de curl.exe, bitsadmin.exe o certutil.exe para descargar archivos
|
Etiquetas / Categorías
whatsapp-vbs-campaign vbs-malware rmm-abuse manageengine-endpoint-central whatsapp-account-compromise financial-themed-phishing multi-language-phishing uac-bypass wscript-dll-sideloading malware-distribution malaysia-cyberattack valleyrat-infrastructure gh0st-rat-overlap
