Campaña de malware en WhatsApp con VBS y MSI

Introducción

Microsoft ha publicado detalles sobre una sofisticada campaña de malware que comienza con archivos VBS enviados por WhatsApp y termina con acceso remoto persistente mediante instaladores MSI maliciosos. Para los equipos de TI y seguridad, esto es relevante porque los atacantes abusan de herramientas legítimas de Windows y plataformas cloud de confianza, lo que dificulta distinguir esta actividad del tráfico empresarial normal.

Qué hay de nuevo en esta campaña

Microsoft Defender Experts observó la campaña a partir de finales de febrero de 2026. La cadena de ataque incluye múltiples etapas diseñadas para evadir la detección y mantener acceso a largo plazo:

• Acceso inicial a través de WhatsApp: Los atacantes envían archivos .vbs maliciosos mediante mensajes de WhatsApp, aprovechando la confianza de los usuarios en aplicaciones de comunicación conocidas.
• Uso de herramientas de Windows renombradas: Los scripts copian utilidades legítimas como curl.exe y bitsadmin.exe, y luego las renombran con nombres engañosos como netapi.dll y sc.exe.
• Entrega de cargas útiles desde servicios cloud de confianza: Las cargas secundarias se descargan desde servicios como AWS S3, Tencent Cloud y Backblaze B2.
• Escalada de privilegios y persistencia: El malware manipula configuraciones del registro relacionadas con UAC e intenta repetidamente ejecutar comandos elevados.
• Backdoors MSI en la etapa final: Archivos MSI sin firmar como Setup.msi, WinRAR.msi, LinkPoint.msi y AnyDesk.msi se utilizan para establecer acceso remoto.

Por qué esto es importante

Esta campaña combina varias tendencias que los defensores están viendo cada vez con más frecuencia:

• Técnicas living-off-the-land que usan binarios nativos de Windows
• Entrega de malware alojado en cloud que se mezcla con tráfico legítimo
• Ingeniería social a través de plataformas de mensajería de consumo
• Persistencia mediante instaladores MSI que pueden parecer rutinarios en entornos administrados

Una oportunidad de detección destacable es la discrepancia entre el nombre real de un archivo y sus metadatos PE OriginalFileName integrados. Las herramientas de seguridad que inspeccionan estos metadatos pueden identificar binarios renombrados con mayor eficacia.

Impacto en los administradores de TI

Los equipos de seguridad y endpoint deben asumir que bloquear solo por tipo de archivo no es suficiente. La campaña puede eludir inspecciones superficiales mediante el uso de carpetas ocultas, fuentes de descarga de confianza y herramientas administrativas legítimas.

Las organizaciones que usan Microsoft Defender deben prestar especial atención a:

• Actividad de hosts de scripts desde rutas no confiables (wscript, cscript, mshta)
• Cambios en el registro vinculados al comportamiento de UAC
• Ejecución de MSI sin firmar
• Conexiones de red a almacenamiento de objetos cloud utilizado para preparar cargas útiles
• Detecciones de endpoint relacionadas con binarios renombrados y flags sospechosos en la línea de comandos

Próximos pasos recomendados

• Restringir la ejecución de scripts en ubicaciones no confiables cuando sea posible.
• Habilitar la protección proporcionada desde la cloud en Microsoft Defender Antivirus.
• Ejecutar Defender for Endpoint EDR en modo de bloqueo para detener artefactos que otros controles no detecten.
• Supervisar el tráfico cloud para identificar descargas sospechosas desde AWS, Tencent Cloud y Backblaze B2.
• Capacitar a los usuarios para que eviten abrir archivos adjuntos inesperados de WhatsApp, incluso si parecen provenir de contactos de confianza.

Esta campaña recuerda que las aplicaciones de confianza, las herramientas legítimas y los servicios cloud comunes pueden ser utilizados como armas. Los defensores deben combinar telemetría de endpoint, inspección del tráfico cloud y concienciación del usuario para reducir la exposición.