Nombres Alternativos / Aliases
- BH Alert Campaign (Por el nombre de la aplicación maliciosa)
- Bahrain Civil Defense Impersonation (Por la entidad suplantada)
- OctagonPanel RAT (Por el componente de acceso remoto)
- Ward Framework Campaign (Por el framework de vigilancia)
- Gulf State Emergency Alert Malware (Por la región objetivo)
Fecha de Detección / Actividad
- Fecha de análisis inicial (Dream Research Labs) : 17 de julio de 2026
- Publicación del informe: 20 de julio de 2026
- Publicación en medios: 22-23 de julio de 2026
- Período de distribución: Julio de 2026 (durante activación de sirenas civiles en el Golfo)
- Países objetivo: Baréin, Kuwait y otros estados del Golfo
- Estado: Activa (en el momento del informe)
Actor de Amenaza (Atribución)
| Característica
|
Detalle
|
| Nombre del Actor
|
Desconocido (atribución no confirmada)
|
| Vínculo Gubernamental
|
No establecido
|
| Tipo de Actor
|
Ciberespionaje / Ciberdelincuencia
|
| Sofisticación
|
ALTA. Los actores demuestran:
|
- Cadena de infección de cuatro etapas con ofuscación avanzada
- Uso de RC4 y AES-256-GCM para cifrar payloads y comunicaciones
- Payloads ocultos en archivos de fuente (.ttf) y .jar
- Capacidad para interrumpir la conectividad de red del dispositivo y forzar la instalación
- Técnicas de persistencia sofisticadas (watchdogs, AlarmManager, WorkManager)
- Clonación precisa de Google Play y portales gubernamentales | | Motivación | Ciberespionaje / Robo de Credenciales | | Objetivo regional | Estados del Golfo (Baréin, Kuwait) |
Resumen Ejecutivo
El 17 de julio de 2026, investigadores de Dream Research Labs (una empresa de ciberseguridad especializada en defensa nacional) identificaron una campaña de malware dirigida a usuarios de Android en Baréin y otros estados del Golfo . La campaña utiliza una aplicación maliciosa denominada "BH Alert", que se hace pasar por una aplicación oficial de alerta de emergencia de la Defensa Civil de Baréin .
Contexto geopolítico
La campaña explota el miedo y la urgencia generados por las tensiones regionales, incluyendo ataques con misiles iraníes que han activado sirenas de defensa civil en Baréin y Kuwait durante julio de 2026 . Durante estos eventos, la demanda de instalación de aplicaciones oficiales de alerta de emergencia aumenta drásticamente .
El engaño
Los atacantes han creado una red de dominios de aspecto idéntico que clonan Google Play Store y sitios web oficiales del gobierno de Baréin . Las páginas fraudulentas incluyen:
| Elemento de Engaño
|
Descripción
|
| Dominios falsos
|
playgoogle[.]alertbh[.]com, download[.]alert-bh[.]com, download[.]bh-security[.]com
|
| Imagen de marca
|
Logotipos de Defensa Civil de Baréin, Ministerio del Interior y Autoridad de Información y Gobierno Electrónico
|
| Falsas métricas de confianza
|
Más de 100,000 descargas, reseñas falsas, etiqueta "Verificado por Play Protect"
|
| Idioma
|
Contenido bilingüe (inglés/árabe) que aumenta la legitimidad
|
| Referencias falsas
|
Menciones a la UNDRR (Oficina de la ONU para la Reducción del Riesgo de Desastres)
|
| Animación de instalación falsa
|
Secuencia simulada de "Instalando" y "Instalado" de 11.9 segundos antes de la descarga del APK
|
El vector de distribución
Los investigadores no identificaron un vector de distribución inicial directo, pero creen que los enlaces se propagan a través de smishing (SMS) y mensajes compartidos en redes sociales y aplicaciones de mensajería .
Cadena de Infección en Cuatro Etapas
Resumen del flujo de ejecución
| Etapa
|
Descripción
|
| Etapa 0
|
APK inicial (com.old.stem.Ematterassist) descifra un archivo de fuente RC4 (ZfChs.ttf) para inyectar código DEX en la aplicación
|
| Etapa 1
|
La aplicación de configuración (com.kit.kitty) solicita permisos de VPN y "Instalar aplicaciones desconocidas" e interrumpe el tráfico de red para forzar la instalación del segundo APK
|
| Etapa 2
|
El segundo APK (biz.rely.melt.Hvoicemanual) descifra otro payload RC4 oculto en un archivo .jar
|
| Etapa 3
|
El RAT principal (com.kisa.octagonpanel / OctagonPanel) se activa y establece vigilancia persistente
|
Etapa 1: El mecanismo de coacción
El servicio VPN (FenrirVpnService) en la Etapa 1 es una técnica clave de coerción :
- Bloquea la mayor parte del tráfico de red de la víctima, dejando el dispositivo casi inoperable .
- Muestra una notificación persistente que pide al usuario "completar la configuración" .
- Si la víctima no completa la configuración en 15 minutos, el túnel VPN se cierra automáticamente para preservar el pretexto de "servicio técnico" y permitir un nuevo intento .
Capacidades del Payload Principal (OctagonPanel RAT)
Una vez que OctagonPanel obtiene los permisos de Accesibilidad, SMS y Contactos, se convierte en una potente plataforma de vigilancia :
| Capacidad
|
Descripción
|
| Captura de Credenciales
|
Roba PINs de bloqueo, contraseñas de cuentas y credenciales de aplicaciones (especialmente bancarias) mediante superposiciones de phishing
|
| Intercepción de SMS
|
Captura todos los SMS, incluyendo códigos de autenticación de un solo uso (OTP)
|
| Captura de Pantalla
|
Toma capturas de pantalla de la actividad del dispositivo
|
| Vigilancia de la UI
|
Monitorea la interfaz de usuario en tiempo real a través de los Servicios de Accesibilidad para reaccionar ante acciones de la víctima
|
| Control Remoto
|
Controla el dispositivo de forma remota y en tiempo real, ejecutando comandos
|
| Exfiltración de Datos
|
Roba contactos, registros de llamadas, aplicaciones instaladas
|
| Persistencia
|
Mantiene el acceso después del reinicio mediante servicios watchdog, AlarmManager y WorkManager
|
Comunicación C2
- Cifrado: Los datos exfiltrados se cifran con AES-256-GCM antes de ser enviados .
- Clave: La clave de cifrado se deriva de la frase
octagon-default-key-change-me mediante SHA-256 .
- C2: El servidor de comando y control está en
209.99.184.50:4444 .
- Heartbeat: El malware mantiene una conexión con el C2 mediante un heartbeat de ~5 segundos, un patrón de tráfico detectable .
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Alcance
|
ALTO
|
Dirigido a usuarios de Baréin y Kuwait durante tensiones regionales activas
|
| Técnicas de Evasión
|
MUY ALTA
|
Payloads en múltiples capas, cifrados RC4/AES, ofuscación
|
| Privilegios Requeridos
|
MUY ALTOS
|
Permisos para Servicios de Accesibilidad, VPN, SMS, y Contactos
|
| Riesgo para Infraestructura Crítica
|
ALTO
|
El compromiso de dispositivos en personal de defensa/gobierno podría dar acceso a redes corporativas
|
| Detección
|
BAJA
|
El tráfico parece benigno, el engaño es de alta calidad
|
Consecuencias para las Víctimas
| Consecuencia
|
Gravedad
|
Detalle
|
| Robo de Credenciales
|
Crítica
|
Contraseñas bancarias y PINs robados, permitiendo robo directo de fondos
|
| Compromiso de MFA
|
Crítica
|
Captura de códigos OTP, permitiendo bypass de autenticación multifactor
|
| Vigilancia
|
Alta
|
Monitoreo completo de mensajes, contactos, llamadas y actividad del dispositivo
|
| Control Remoto
|
Alta
|
Los atacantes pueden ejecutar acciones en el dispositivo en tiempo real
|
Recomendaciones de Mitigación
Para Usuarios en el Golfo
| Acción
|
Prioridad
|
Descripción
|
| Descargar solo de Google Play oficial
|
CRÍTICA
|
Instalar aplicaciones de emergencia ÚNICAMENTE desde la tienda oficial de Google
|
| No confiar en enlaces de SMS o redes
|
CRÍTICA
|
No instalar aplicaciones desde enlaces enviados por mensaje de texto, WhatsApp, o redes sociales
|
| Verificar la URL de Google Play
|
CRÍTICA
|
La URL real de Google Play es play.google.com; verificar si hay palabras o caracteres adicionales
|
| Verificar permisos de aplicaciones
|
ALTA
|
Una aplicación de alerta de emergencia no debería necesitar permisos de Accesibilidad, SMS, o Contactos
|
Para Organizaciones
| Acción
|
Descripción
|
| Usar una solución MDM
|
Aplicar políticas de seguridad móvil, bloquear el sideloading, y restringir la instalación de aplicaciones a fuentes aprobadas
|
| Monitoreo de Red
|
Detectar el tráfico de heartbeat de 5 segundos desde dispositivos móviles
|
| Educación de Usuarios
|
Informar a los empleados (especialmente a los que trabajan con defensa y gobierno) sobre la campaña BH Alert
|
| Revisar permisos de aplicaciones
|
Auditoría de aplicaciones instaladas para detectar las que abusan de permisos de Alto Riesgo
|
Opiniones de Expertos
"Impersonating one of these apps in the middle of a live conflict is one of the most efficient ways to be trusted on a target’s device. The malware does not have to break anything. It just needs to impersonate an official app to be granted access, and fear does the rest."
— Dream Research Labs
"A compromised employee smartphone could potentially be used to bypass multifactor authentication (MFA) protections and gain access to corporate applications."
— Dream Research Labs
"Network monitoring can help detect this malware once active, since it phones home on a steady ~5-second heartbeat — an anomaly that stands out as a consistent, identifiable traffic pattern, detectable even without decrypting the traffic itself."
— Portavoz de Dream Research Lab
Referencias y Fuentes
- Gulf Daily News. (2026, 21 de julio). Fake alert app warning.
- Culafi, A. (2026, 23 de julio). Fake Bahrain Alert App Deploys Android Surveillance Malware. Dark Reading.
- CyberSecurityNews. (2026, 22 de julio). Fake Bahrain Civil Defense App Deploys Android RAT to Steal PINs, OTPs, and Banking Credentials.
- Dream Research Labs. (2026, 20 de julio). How a Fake Bahrain Civil-Defense App Turns a Phone Into a Listening Post. Dream Security Blog.
- CN-SEC. (2026, 23 de julio). 警报为饵，手机成监听站：巴林虚假预警应用BH Alert简析.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-07-23
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en análisis de Dream Research Labs, Dark Reading y CyberSecurityNews
|
Indicadores de Compromiso (IOCs)
Dominios Maliciosos
| Dominio
|
Propósito
|
playgoogle[.]alertbh[.]com
|
Página de suplantación de Google Play
|
download[.]alert-bh[.]com
|
Página de suplantación de Google Play con animación de 11.9 segundos
|
download[.]alertbh[.]info
|
Página de suplantación de Google Play (descarga directa)
|
download[.]bh-security[.]com
|
Portal gubernamental suplantado
|
IPs y Puertos C2
| Indicador
|
Propósito
|
209.99.184.50:4444
|
Servidor C2 de OctagonPanel/Ward
|
Nombres de Paquetes Maliciosos
| Paquete
|
Etapa
|
com.old.stem.Ematterassist
|
Etapa 0 - Descifrador inicial
|
com.kit.kitty
|
Etapa 1 - Coercitivo
|
biz.rely.melt.Hvoicemanual
|
Etapa 2 - Descifrador secundario
|
com.kisa.octagonpanel
|
Etapa 3 - RAT principal
|
Archivos Clave
| Archivo
|
Propósito
|
ZfChs.ttf
|
Archivo de fuente que contiene payload cifrado con RC4
|
payload.base
|
APK secundario descargado durante la Etapa 1
|
ZGdSEl.jar
|
Archivo JAR que contiene payload final
|
Claves Criptográficas
| Tipo
|
Valor
|
| Clave RC4 (Etapa 0)
|
ct
|
| Clave RC4 (Etapa 2)
|
NYrGT
|
| Clave C2 (AES-256-GCM)
|
octagon-default-key-change-me (SHA-256 derivado)
|
Comportamiento a Monitorear
| Comportamiento
|
Descripción
|
| Heartbeat C2
|
Tráfico saliente que ocurre aproximadamente cada 5 segundos
|
| Servicio VPN Interrumpido
|
Aplicación que solicita permisos de VPN y luego bloquea tráfico de red de otras aplicaciones
|
| Permisos de Accesibilidad
|
Aplicación que solicita Servicios de Accesibilidad después de la instalación
|
| Archivos de Fuente en Aplicaciones
|
Aplicaciones con archivos .ttf excepcionalmente grandes
|
Etiquetas / Categorías
bh-alert octagonpanel-rat ward-framework android-malware surveillance-malware bahrain-civil-defense impersonation emergency-alert-phishing smishing-campaign gulf-state-cyberattack android-spyware banking-trojan credential-theft mfa-bypass four-stage-payload rc4-encryption ttf-payload-hiding
