CiberWiki

Campaña de VBScript a través de WhatsApp: Distribución de Software RMM y Compromiso de Cuentas (2026)

Revisión del 20:20 26 jun 2026 de Fernando.VH (discusión | contribs.) (Descripción de Campaña de VBScript a través de WhatsApp: Distribución de Software RMM y Compromiso de Cuentas (2026))
(difs.) ← Revisión anterior | Revisión actual (difs.) | Revisión siguiente → (difs.)

Nombres Alternativos / Aliases

  • WhatsApp VBScript Campaign (Por el vector de distribución)
  • WhatsApp RMM Dropper (Por el payload final)
  • ManageEngine Endpoint Central Abuse Campaign (Por el software abusado)
  • WhatsApp Account Compromise Campaign (Por el método de propagación)

Fecha de Detección / Actividad

  • Fecha de detección: Junio de 2026
  • Período de actividad: Junio de 2026 (activa al momento del informe)
  • Países afectados: Malasia, Brasil, India, México, Singapur, Reino Unido, España, Taiwán, Australia, Rusia y Vietnam
  • Distribución de víctimas: 80% en Malasia
  • Estado: Activa (continúa operando)

Actor de Amenaza (Atribución)

  • Nombre del Actor: Desconocido (sin atribución a grupo conocido)
  • Atribución preliminar: Operador de habla china (confianza baja)
  • Indicadores de origen:
    • Comentarios y metadatos en scripts escritos en chino simplificado
    • Referencias a módulos de Windows Update en chino
  • Vínculo Gubernamental: No establecido
  • Tipo de Actor: Ciberdelincuencia (posiblemente inicial)
  • Sofisticación: MEDIA. El grupo demuestra:
    • Compromiso de cuentas de WhatsApp (método desconocido)
    • Ingeniería social multilingüe (múltiples idiomas en señuelos)
    • Uso de múltiples mecanismos de descarga (curl, bitsadmin, PowerShell)
    • Abuso de software legítimo (ManageEngine Endpoint Central) como RMM
    • Ofuscación básica (concatenación, variables aleatorias, junk content)

Resumen Ejecutivo

En junio de 2026, investigadores de Kaspersky GReAT identificaron una campaña de malware activa que distribuye scripts VBScript maliciosos a través de mensajes directos de WhatsApp. La campaña ha afectado a usuarios en más de 10 países, con la mayor concentración de víctimas en Malasia (80%).

Mecanismo de distribución

Los atacantes comprometieron cuentas de WhatsApp de usuarios legítimos y utilizaron esas cuentas para enviar archivos VBScript maliciosos a los contactos de la lista de la víctima. Los mensajes contenían solo el archivo adjunto, sin texto acompañante, y un mismo remitente enviaba el mismo archivo a múltiples contactos.

"Un mismo remitente envió el mismo archivo adjunto a múltiples contactos de su lista."

El engaño: ingeniería social financiera

El éxito de la campaña se basa en nombres de archivo engañosos que imitan documentos empresariales y financieros:

Categoría Ejemplos
Inglés Financial Reports.vbs, Debt confirmation.vbs, Outstanding Payment List.vbs
Portugués Extrato de Conciliação.vbs, Aviso de dívida.vbs
Alemán Bitte füllen Sie das Formular für Umsatzsteuer-Nullsatz-Verkäufe aus.vbs
Malayo Penyata bank.vbs, Sila semak bil anda.vbs
Francés Le formulaire de demande le plus récent.vbs

Cadena de infección

  1. El usuario recibe un archivo VBScript adjunto en WhatsApp
  2. Dos interacciones necesarias:
    • Descargar el archivo (clic en el adjunto)
    • Abrir el archivo (ejecutarlo)
  3. Stage 1: El VBScript crea un directorio oculto, descarga dos scripts adicionales
  4. Stage 2: Los scripts descargados modifican la configuración de UAC y descargan un ZIP
  5. Stage 3: El ZIP contiene el instalador de ManageEngine Endpoint Central (RMM legítimo) preconfigurado
  6. Resultado final: El atacante obtiene acceso remoto persistente al sistema de la víctima

Payload final: Abuso de software legítimo

La campaña instala silenciosamente ManageEngine Endpoint Central, un software de administración remota legítimo, en los sistemas de las víctimas. Este software permite al atacante:

  • Acceso remoto completo al sistema
  • Monitoreo de actividad del usuario
  • Control total del equipo comprometido

Infraestructura

Los archivos maliciosos se descargan desde:

  • Dominios personalizados: temu.baskwms[.]top, invoice.msopsa[.]top
  • Servicios de almacenamiento en la nube: Buckets de Alibaba Cloud OSS, AWS S3 y Backblaze B2

Los servidores de gestión del RMM se alojan en IPs de Taiwán, incluyendo 202.61.160.201, que se ha observado previamente en infraestructura asociada a ValleyRAT y Gh0st RAT.

Vector de Ataque / Método de Distribución

Vector principal: Compromiso de cuentas de WhatsApp

Fase Descripción
Compromiso inicial Método desconocido (posible phishing, robo de cookies/sesiones, SIM swapping)
Propagación El atacante usa la cuenta comprometida para enviar el VBScript a contactos
Ingeniería social Nombres de archivo financieros y documentos empresariales
Ejecución El usuario debe descargar y abrir el archivo manualmente

Proceso de infección técnica

Stage 1: VBScript inicial

  • El script crea un directorio en C:\Users\Public\Documents\ con nombre aleatorio (Temp_<random> o MSUpdate_<random>)
  • Configura el directorio y archivos con atributos ocultos y de sistema
  • Descarga dos scripts VBS adicionales desde la infraestructura del atacante
  • Utiliza múltiples mecanismos de descarga:
    • curl.exe (renombrado con nombre de DLL)
    • bitsadmin.exe (renombrado)
    • certutil.exe
    • PowerShell
    • Solicitudes HTTP directas

Stage 2: Scripts secundarios

Script Función
Script 1 Modifica ConsentPromptBehaviorAdmin en el registro para deshabilitar las solicitudes de UAC
Script 2 Descarga un archivo ZIP que contiene el paquete de instalación de ManageEngine Endpoint Central

Stage 3: Instalación del RMM

  • El script setup1.vbs verifica que todos los archivos de instalación estén presentes
  • Solicita privilegios de administrador con runas
  • Instala silenciosamente el agente de Endpoint Central mediante msiexec.exe
  • La instalación utiliza certificados y configuraciones predefinidas (DCAgentServerInfo.json, DMRootCA.crt)

Detección y evasión

Técnica de evasión Descripción
Atributos ocultos Directorios y archivos configurados con atributos +h +s
Nombres de archivo engañosos Extensiones PDF/TXT que son renombradas a VBS
Comentarios falsos Metadatos que imitan módulos legítimos de Windows Update (en chino)
Ofuscación Concatenación de caracteres, variables aleatorias, junk content
Eliminación de Zone.Identifier Elimina las marcas de "archivo descargado de Internet"
Silencio de instalación El RMM se instala sin mostrar interfaz al usuario

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK) Técnica / Subtécnica Descripción / Implementación
Initial Access (TA0001) Phishing: Spearphishing via Service (T1566.003) Envío de archivos maliciosos a través de cuentas de WhatsApp comprometidas
Execution (TA0002) User Execution: Malicious File (T1204.002) Usuario abre el archivo VBScript adjunto
Execution (TA0002) Command and Scripting Interpreter: VBScript (T1059.005) Ejecución de scripts VBScript a través de WScript.exe
Persistence (TA0003) Scheduled Task/Job (T1053.005) Tareas programadas para reinstalación (no confirmado en todos los casos)
Persistence (TA0003) Server Software Component (T1505) Instalación de agente de ManageEngine Endpoint Central
Privilege Escalation (TA0004) Abuse Elevation Control Mechanism (T1548) Modificación de UAC (ConsentPromptBehaviorAdmin=0)
Defense Evasion (TA0005) Masquerading (T1036) Nombres de archivo que imitan documentos financieros
Defense Evasion (TA0005) Obfuscated Files or Information (T1027) Ofuscación de scripts (concatenación, variables aleatorias)
Defense Evasion (TA0005) Hidden Files and Directories (T1564.001) Directorios y archivos ocultos con atributos +h +s
Defense Evasion (TA0005) Modify Registry (T1112) Modificación de clave de UAC
Defense Evasion (TA0005) Masquerade as Legitimate Windows Component Comentarios falsos de Windows Update en chino
Command and Control (TA0011) Application Layer Protocol: Web Protocols (T1071.001) Descarga de scripts y archivos ZIP a través de HTTP/HTTPS
Command and Control (TA0011) Remote Access Software (T1219) ManageEngine Endpoint Central (RMM legítimo abusado)
Exfiltration (TA0010) Exfiltration Over Web Service (T1567) Posible (a través del RMM instalado)

Impacto y Riesgo

Categoría Nivel Descripción
Alcance geográfico ALTO 10+ países, 80% de víctimas en Malasia
Tasa de éxito MEDIA-ALTA Basada en ingeniería social y compromiso de cuentas de confianza
Acceso remoto MUY ALTO Instalación de RMM legítimo con control total
Persistencia ALTA El agente RMM proporciona acceso continuado
Detección BAJA Uso de herramientas legítimas y scripts ofuscados

Consecuencias para la víctima

Consecuencia Gravedad Detalle
Control remoto del sistema Crítica El atacante puede acceder, controlar y monitorear el dispositivo
Robo de datos Alta A través del RMM, el atacante puede acceder a cualquier archivo
Propagación a contactos Alta La cuenta comprometida se usa para distribuir malware a más víctimas
Acceso continuado Alta El RMM permanece instalado incluso después de reinicios
Uso en ataques posteriores Media Los sistemas comprometidos pueden ser utilizados como base para otros ataques

Infraestructura de servidores UEMS

Las IPs de los servidores de ManageEngine Endpoint Central son:

IP Observación
202.61.160[.]208 —
202.61.160[.]202 —
202.61.160[.]201 Previamente asociada a ValleyRAT y Gh0st RAT
202.61.160[.]160 —
202.61.160[.]137 —
38.55.151[.]63 —

Recomendaciones de Mitigación

Para usuarios

Acción Prioridad Descripción
No abrir archivos adjuntos inesperados CRÍTICA Incluso si parecen venir de contactos conocidos (la cuenta puede estar comprometida)
Verificar con el remitente ALTA Contactar al remitente por otro canal para confirmar que envió el archivo
No ejecutar archivos VBS, VBE, JS, PS1 CRÍTICA Especialmente si llegan a través de mensajería instantánea
Revisar aplicaciones instaladas ALTA Buscar instalaciones no autorizadas de ManageEngine Endpoint Central

Para organizaciones

Acción Descripción
Monitorear instalaciones de ManageEngine Detectar instalaciones no autorizadas del agente Endpoint Central
Educar a usuarios sobre phishing Incluir ejemplos de ataques a través de WhatsApp
Implementar MDM Controlar qué software puede instalarse en dispositivos corporativos
Monitorear tráfico a dominios sospechosos Bloquear acceso a *.baskwms.top, *.msopsa.top

Pasos de remediación (para víctimas)

Paso Descripción
1. Desinstalar ManageEngine Endpoint Central A través del Panel de Control o msiexec /x
2. Revocar acceso de la cuenta de WhatsApp Cerrar sesión en todos los dispositivos
3. Cambiar contraseña de WhatsApp Y habilitar verificación en dos pasos
4. Revisar mensajes enviados Notificar a contactos que podrían haber recibido malware
5. Escanear el sistema Con herramientas de seguridad actualizadas

Script de verificación

powershell 

# Buscar instalaciones de ManageEngine Endpoint Central
Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like "*ManageEngine*" }

# Buscar tareas programadas sospechosas
Get-ScheduledTask | Where-Object { $_.TaskName -like "*OneDrive*" -or $_.TaskName -like "*MicrosoftUpdate*" }

# Buscar directorios VBS ocultos en Public
Get-ChildItem -Path "C:\Users\Public\Documents" -Force -Recurse | Where-Object { $_.Extension -match "\.vbs|\.vbe" -and $_.Attributes -match "Hidden|System" }

Contexto Más Amplio: El Ecosistema de Ataques a Través de Mensajería

Campaña Plataforma Técnica Año
WhatsApp VBScript Campaign WhatsApp VBScript + RMM legítimo 2026
UNC3753 Vishing (llamadas telefónicas) Ingeniería social + RMM 2026
Miasma GitHub/npm/PyPI Cadena de suministro 2026
SharkLoader Múltiples Explotación de vulnerabilidades 2026

Patrón: El uso de herramientas RMM legítimas se está convirtiendo en un vector de ataque común, permitiendo a los atacantes:

  1. Evadir detección por antivirus (software firmado y legítimo)
  2. Obtener acceso remoto persistente sin desplegar malware personalizado
  3. Mantener acceso incluso después de que los scripts iniciales sean eliminados

Referencias y Fuentes

  1. Kaspersky GReAT. (2026, 22 de junio). A VBScript campaign distributed through WhatsApp deploying RMM software.
  2. Kaspersky Press Release. (2026, 22 de junio). WhatsApp VBScript campaign deploying ManageEngine Endpoint Central.
  3. Help Net Security. (2026, 22 de junio). WhatsApp VBScript campaign deploys RMM software.

Historial de Revisiones

Fecha Versión Autor Cambios Realizados
2026-06-26 1.0 Fernando Vargas Hincapié Creación inicial basada en el informe de Kaspersky GReAT

Indicadores de Compromiso (IOCs)

Hashes MD5 - VBScript Inicial (Stage 1)

Hash Nombre de Archivo
c7f38cbb99c8b74fa0465293feeba700 Financial Reports.vbs
b7cd06c71465038b658a6dc1f273a507 Debt confirmation.vbs
9f13c7b8ba391b2f597874e54d310648 Electronic statement(A).vbs
993f4c0cadbc769a4b0ed62a918db58d Financial Reports(s).vbs
7f81c1bc8cfd588e8998968e2621456e Outstanding Payment List.vbs
7403cbcc5a9c32384d431856dc48fcc9 Statement of debt (4).vbs
68c16c46f8afb9e00bbaba0207fb0a46 Debt Note (2).vbs
66442f2457eca8f47385b1fb2c6fcab8 Statement of Debt(30K).vbs
6359e6236471cbe434d0ef4c42b7f879 Applicationform1.vbs
5b6bbcc06cf08cc99e1afeda486d42fb Extrato de Conciliação.vbs
5002eca748205d544618e3bd2dedc223 Statement of Debt(29K).vbs
4f0593e8e0e8fac49429e9b45ebf7fa1 Outstanding Payment List.vbs
4044e4b6471c9de7b0a4ba37d9d9df9a billing statement (2).vbs
20209b3a32769afc6a75694b8d8839dd Statement of Debt(A).vbs
0ba93109757776a44de9d8c88baa4963 Financial Reports(C1).vbs
02bb20455cc592a69c080abac770ce90 Le formulaire de demande le plus récent.vbs
6c39900d77dcba158e1d27c7619cb06d Outstanding Balance Sheet(A).vbs
dad708e050632a4280cabf98ac1376b7 Outstanding Balance Sheet.vbs
05d188f071d097f5b6bd8138749b4b14 Penyata bank.vbs
2c6f05f1f309d89b2236e6c8b59c88f9 Account Statement(13K)(2).vbs
3b1aba44dd3d9b6339b6f56e2f42034b Statement of Account.txt
d43fdaa1f0ee09d7e5f0f94ee9df7b6c Bitte füllen Sie das Formular für Umsatzsteuer-Nullsatz-Verkäufe aus.vbs
df4fa0369eaca5cec348be293890d4af Account Statement.vbs
63ac85195b73753333316a889cf5880f Statement of Account(O).vbs
74fd9f91fc93b6288b4fc253ea5b3e20 Sila semak bil anda.vbs
d06333c360b51456f427e616c3c5f8bd Sila semak bil anda.vbs
1d94fbe9cab21278cc3f104bea334d08 Promissory_Note(b).vbs
9d9ac85765e4a818a3ccabe2cf4fef82 Debt Statement.vbs

Hashes MD5 - VBScript Obfuscado (Variantes)

Hash Nombre de Archivo
6fb6a55424adfb61e31f06aef33273e5 dfjieya.vbs
f90ed4b2d0b67114aa89ddfed658e5c0 dfjieya.vbs
8c3322009b8982663c0cbecd9492e7eb 0lf.vbs
66705384a7ad81d14c34fc6c054a0ecf iowepv.vbs
8c6d9fc389ad3f20ccbc71d77eb39bfa btksfmsi.vbs
1a3cc75466ffb1971482f7abf7aabc3f home3.vbs
1c47c63e5ed25060d95359c57c77b107 zipats.vbs
31037a42ca048e06e69a78f55bc2eff5 1122.vbs
7f16449cd0c4862d1eadf8a5742bf09a payload_1.vbs
79ecd61b09b0f2d54b34586c916c4ec9 sac8.vbs
7849061c536a3efb05a56d504694e7e7 6oy.vbs
ddaffe9849f7f3c79f8804adb9a6b3d5 kof.vbs
d01cad98dd0d01b75e04e784953c5e2b sleestak_payload_1.vbs

Dominios y URLs

Tipo Indicador
Dominio temu.baskwms[.]top
Dominio invoice.msopsa[.]top
Dominio qse.shoppes[.]help
Dominio shaaslong[.]one
Dominio baoxis[.]cc
URL (Alibaba OSS) baolongwes.oss-ap-southeast-1.aliyuncs[.]com
URL (Alibaba OSS) sdcwww.oss-ap-southeast-1.aliyuncs[.]com
URL (AWS S3) baoyuw2s.s3.ap-southeast-1.amazonaws[.]com
URL (AWS S3) hksha3.s3.ap-southeast-1.amazonaws[.]com
URL (AWS S3) sjdkjj23.s3.ap-southeast-1.amazonaws[.]com
URL (AWS S3) xijkwm2.s3.ap-southeast-1.amazonaws[.]com
URL (AWS S3) yifubafu.s3.ap-southeast-1.amazonaws[.]com
URL (Backblaze B2) caiwuascw.s3.us-east-005.backblazeb2[.]com
URL (Backblaze B2) facaia.s3.us-east-005.backblazeb2[.]com

IPs de Servidores UEMS (C2)

IP Observación
202.61.160[.]202 Servidor de ManageEngine Endpoint Central
202.61.160[.]201 Previamente asociada a ValleyRAT y Gh0st RAT
202.61.160[.]137 Servidor de ManageEngine Endpoint Central
202.61.160[.]160 Servidor de ManageEngine Endpoint Central
202.61.160[.]208 Servidor de ManageEngine Endpoint Central
38.55.151[.]63 Servidor de ManageEngine Endpoint Central

Archivos y Componentes

Archivo Descripción
DCAgentServerInfo.json Configuración del servidor con IPs y puertos
DMRootCA.crt Certificado raíz de confianza
DMRootCA-Server.crt Certificado de autenticación del servidor
setup.bat Instalador legítimo (no utilizado)
setup1.vbs Script malicioso que inicia la instalación silenciosa
UEMSAgent.msi Instalador del agente de Endpoint Central
UEMSAgent.mst Configuración personalizada para la instalación

Comportamiento Anómalo a Monitorear

Categoría Comportamiento
Archivos adjuntos Recepción de archivos VBS/VBE a través de WhatsApp de contactos conocidos
Procesos WScript.exe ejecutado desde el directorio de almacenamiento de WhatsApp Desktop
Directorios Creación de directorios ocultos en C:\Users\Public\Documents\ con nombres aleatorios
Registro Modificación de ConsentPromptBehaviorAdmin
Instalaciones Instalación no autorizada de ManageEngine Endpoint Central
Tráfico de red Conexiones a *.baskwms.top, *.msopsa.top o IPs 202.61.160.*
Descargas Uso de curl.exe, bitsadmin.exe o certutil.exe para descargar archivos

Etiquetas / Categorías

whatsapp-vbs-campaign vbs-malware rmm-abuse manageengine-endpoint-central whatsapp-account-compromise financial-themed-phishing multi-language-phishing uac-bypass wscript-dll-sideloading malware-distribution malaysia-cyberattack valleyrat-infrastructure gh0st-rat-overlap
Obtenido de «https://darfe.es/ciberwiki/index.php?title=Campaña_de_VBScript_a_través_de_WhatsApp:_Distribución_de_Software_RMM_y_Compromiso_de_Cuentas_(2026)&oldid=3112»