Kaspersky identificó que los ciberdelincuentes aprovechan cuentas comprometidas para enviar archivos maliciosos desde contactos conocidos. La amenaza también ha sido detectada en América Latina.
20 de julio de 2026
WhatsApp se ha convertido en un nuevo canal para que ciberdelincuentes distribuyan malware mediante mensajes que parecen provenir de contactos conocidos. Kaspersky identificó una campaña que utiliza cuentas comprometidas para enviar archivos falsos relacionados con facturas, pagos, extractos bancarios o avisos de deuda.
La táctica busca aprovechar la confianza de los usuarios y aumentar las probabilidades de que abran el contenido malicioso. Amenaza también ha sido detectada en América Latina, donde los atacantes utilizan técnicas de ingeniería social para engañar a las víctimas.
La campaña fue revelada en junio de 2026 por el Equipo Global de Investigación y Análisis de Kaspersky, GReAT. De acuerdo con la investigación, los atacantes utilizan cuentas de WhatsApp previamente comprometidas para enviar archivos adjuntos maliciosos mediante WhatsApp Web y WhatsApp Desktop.
Al llegar desde una conversación conocida, el mensaje puede parecer legítimo y generar menos sospechas en la víctima. De esta forma, los ciberdelincuentes aprovechan la confianza existente entre los usuarios para aumentar la efectividad del ataque.
El archivo malicioso utiliza VBScript, un tipo de script que puede ejecutar instrucciones en el computador cuando es abierto. Una vez activado, inicia una cadena de acciones en el sistema afectado y descarga otros componentes desde una infraestructura externa.
Además, permite instalar herramientas que pueden dar acceso remoto al equipo. Este tipo de acceso puede ser utilizado por los atacantes. Para mantener control sobre el dispositivo, moverse dentro del sistema o ejecutar nuevas acciones maliciosas.
La ingeniería social es una de las claves de esta campaña. Los archivos están diseñados para parecer documentos empresariales habituales, como facturas, extractos bancarios, estados de cuenta, registros de pago y avisos de deuda.
Además, los nombres de los archivos se han encontrado en varios idiomas. Entre ellos están inglés, portugués, francés, alemán y malayo. Lo que apunta a una operación con alcance amplio y adaptable a distintas regiones.
Los investigadores también identificaron que algunas muestras del malware incluyen comentarios y metadatos. Estos elementos intentan imitar componentes legítimos de Microsoft Windows Update.
Esta técnica busca hacer que el archivo parezca menos sospechoso. Además, dificulta su identificación por parte de usuarios que no cuentan con una protección adecuada.
De acuerdo con el análisis técnico, cuando el usuario abre el archivo adjunto, se activa una secuencia de scripts en el dispositivo. El primero crea un directorio de trabajo en la carpeta pública de documentos del sistema.
Luego, recupera archivos adicionales desde una infraestructura externa y los ejecuta mediante Windows Script Host. Posteriormente, estos componentes descargan un archivo comprimido con un paquete de instalación para software de supervisión y gestión remota.
Aunque este tipo de herramientas puede tener usos legítimos en entornos de soporte técnico o administración de TI, en manos de ciberdelincuentes puede convertirse en una vía de acceso no autorizado.
Por eso, los expertos advierten que los usuarios deben desconfiar de archivos inesperados. Esto aplica incluso cuando provengan de contactos conocidos o conversaciones habituales.
“Lo más preocupante de esta campaña no es solo el uso de WhatsApp como canal de distribución. Sino la forma en que los atacantes convierten una conversación cotidiana en una puerta de entrada al dispositivo.
Cuando el archivo llega desde una cuenta conocida, la primera barrera de defensa del usuario, la desconfianza, se debilita. Esto demuestra cómo el crimeware está dejando de depender únicamente de correos sospechosos o sitios falsos.
Ahora está migrando hacia espacios donde las personas interactúan con mayor naturalidad y menos prevención. Para las organizaciones y los usuarios, el riesgo está en que un documento que parece rutinario puede terminar habilitando el acceso remoto al equipo.
Una factura o un comprobante de pago pueden abrir la puerta a robo de información, movimientos laterales o nuevas infecciones”, explica Fabio Assolini, Lead Security Researcher de GReAT para América Latina en Kaspersky.
Para evitar estas vulnerabilidades, los expertos de Kaspersky recomiendan:
Actuar con precaución al recibir archivos adjuntos inesperados a través de WhatsApp, incluso cuando parezcan proceder de contactos conocidos. Si el archivo no fue solicitado, es recomendable confirmar por otro canal antes de abrirlo.
Evitar abrir archivos de tipo script o ejecutables, como .vbs, .vbe, .exe, .bat, .cmd, .js y .ps1, a menos que se haya verificado de forma independiente su legitimidad.
Revisar con atención los nombres de los archivos y desconfiar de documentos que aparenten ser facturas, pagos, extractos bancarios o avisos de deuda. Especialmente si llegan sin contexto o con mensajes genéricos.
Utilizar una solución de seguridad confiable en computadores y dispositivos móviles, como Kaspersky Premium. Esta ayuda a identificar archivos maliciosos, bloquear amenazas y prevenir infecciones antes de que comprometan el equipo.
