Kaspersky identificó que los ciberdelincuentes aprovechan cuentas comprometidas para enviar archivos maliciosos desde contactos conocidos; la amenaza también ha sido detectada en América Latina.
WhatsApp se ha convertido en un nuevo canal para que ciberdelincuentes distribuyan malware a través de mensajes que parecen venir de contactos conocidos. Kaspersky identificó una campaña que utiliza cuentas comprometidas para enviar archivos falsos relacionados con facturas, pagos, extractos bancarios o avisos de deuda, una táctica que busca aprovechar la confianza de los usuarios y aumentar las probabilidades de que abran el contenido malicioso. La amenaza también ha sido detectada en América Latina.
La campaña fue revelada en junio de 2026 por el Equipo Global de Investigación y Análisis de Kaspersky, GReAT. De acuerdo con la investigación, los atacantes utilizan cuentas de WhatsApp previamente comprometidas para enviar archivos adjuntos maliciosos a través de WhatsApp Web y WhatsApp Desktop. Al llegar desde una conversación conocida, el mensaje puede parecer legítimo y generar menos sospechas en la víctima.
El archivo malicioso utiliza VBScript, un tipo de script que puede ejecutar instrucciones en el computador cuando es abierto. Una vez activado, inicia una cadena de acciones en el sistema afectado, descarga otros componentes desde una infraestructura externa y permite la instalación de herramientas que pueden dar acceso remoto al equipo. Este tipo de acceso puede ser utilizado por los atacantes para mantener control sobre el dispositivo, moverse dentro del sistema o ejecutar nuevas acciones maliciosas.
La ingeniería social es una de las claves de esta campaña. Los archivos están diseñados para parecer documentos empresariales habituales, como facturas, extractos bancarios, estados de cuenta, registros de pago y avisos de deuda. Además, los nombres de los archivos se han encontrado en varios idiomas, entre ellos inglés, portugués, francés, alemán y malayo, lo que apunta a una operación con alcance amplio y adaptable a distintas regiones.
Los investigadores también identificaron que algunas muestras del malware incluyen comentarios y metadatos que intentan imitar componentes legítimos de Microsoft Windows Update. Esta técnica busca hacer que el archivo parezca menos sospechoso y dificultar su identificación por parte de usuarios que no cuentan con una protección adecuada.
De acuerdo con el análisis técnico, cuando el usuario abre el archivo adjunto, se activa una secuencia de scripts en el dispositivo. El primero crea un directorio de trabajo en la carpeta pública de documentos del sistema, luego recupera archivos adicionales desde una infraestructura externa y los ejecuta mediante Windows Script Host. Posteriormente, estos componentes descargan un archivo comprimido que contiene un paquete de instalación para software de supervisión y gestión remota.
Aunque este tipo de herramientas puede tener usos legítimos en entornos de soporte técnico o administración de TI, en manos de ciberdelincuentes puede convertirse en una vía para tomar control remoto de un equipo sin autorización. Por eso, los expertos advierten que los usuarios deben desconfiar de archivos inesperados, incluso cuando provengan de contactos conocidos o de conversaciones habituales.
“Lo más preocupante de esta campaña no es solo el uso de WhatsApp como canal de distribución, sino la forma en que los atacantes convierten una conversación cotidiana en una puerta de entrada al dispositivo. Cuando el archivo llega desde una cuenta conocida, la primera barrera de defensa del usuario, la desconfianza, se debilita. Esto demuestra cómo el crimeware está dejando de depender únicamente de correos sospechosos o sitios falsos, y está migrando hacia espacios donde las personas interactúan con mayor naturalidad y menos prevención. Para las organizaciones y los usuarios, el riesgo está en que un documento que parece rutinario, como una factura o un comprobante de pago, puede terminar habilitando el acceso remoto al equipo y abrir la puerta a robo de información, movimientos laterales o nuevas infecciones”, Fabio Assolini, Lead Security Researcher de GReAT para América Latina en Kaspersky.
