{"id":1273,"date":"2026-06-23T07:15:22","date_gmt":"2026-06-23T07:15:22","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/la-campana-vbscript-de-whatsapp-utiliza-documentos-falsos-para-instalar-la-herramienta-manageengine-rmm-cyberdefensa-mx\/"},"modified":"2026-06-23T07:15:22","modified_gmt":"2026-06-23T07:15:22","slug":"la-campana-vbscript-de-whatsapp-utiliza-documentos-falsos-para-instalar-la-herramienta-manageengine-rmm-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/la-campana-vbscript-de-whatsapp-utiliza-documentos-falsos-para-instalar-la-herramienta-manageengine-rmm-cyberdefensa-mx\/","title":{"rendered":"La campa\u00f1a VBScript de WhatsApp utiliza documentos falsos para instalar la herramienta ManageEngine RMM \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los mensajes directos enviados a trav\u00e9s de WhatsApp se utilizan para distribuir archivos maliciosos de Visual Basic Script (VBScript) que conducen a la instalaci\u00f3n de software leg\u00edtimo de gesti\u00f3n y supervisi\u00f3n remota (RMM).<\/p>\n

Seg\u00fan los hallazgos de Kaspersky, la campa\u00f1a activa est\u00e1 dirigida a usuarios de WhatsApp Desktop y WhatsApp Web en Malasia, Brasil, India, M\u00e9xico, Singapur, Reino Unido, Espa\u00f1a, Taiw\u00e1n, Australia, Rusia y Vietnam. La mayor concentraci\u00f3n de v\u00edctimas se registr\u00f3 en Malasia.<\/p>\n

\u00abEl actor de amenazas utiliza nombres de archivos enga\u00f1osos que se hacen pasar por documentos comerciales y financieros para persuadir a los destinatarios a descargar y ejecutar el archivo adjunto\u00bb, dijo el investigador de seguridad Fareed Radzi. dicho<\/a>. \u00abUna vez ejecutado, VBScript inicia una cadena de infecci\u00f3n de varias etapas que finalmente resulta en la instalaci\u00f3n de un software leg\u00edtimo de monitoreo y administraci\u00f3n remota (RMM), que permite el acceso remoto al sistema de la v\u00edctima\u00bb.<\/p>\n

Se sospecha que el actor de amenazas detr\u00e1s de la operaci\u00f3n logr\u00f3 obtener acceso subrepticio a varias cuentas de WhatsApp y luego las utiliz\u00f3 como vector de distribuci\u00f3n de los archivos VBScript entre sus contactos. Dicho esto, no est\u00e1 claro exactamente c\u00f3mo se ven comprometidas estas cuentas.<\/p>\n

Los archivos VBScript, muy ofuscados, est\u00e1n disfrazados de documentos comerciales y financieros aparentemente inofensivos, utilizando nombres como \u00abFinancial Reports.vbs\u00bb o \u00abAccount Statement.vbs\u00bb. Algunos de los archivos tambi\u00e9n tienen nombres en otros idiomas, como portugu\u00e9s, franc\u00e9s, alem\u00e1n y malayo, lo que refleja la naturaleza global de la campa\u00f1a.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abAdem\u00e1s, las muestras de VBScript contienen extensos comentarios y metadatos destinados a imitar componentes leg\u00edtimos de Microsoft Windows Update\u00bb, explic\u00f3 Kaspersky. \u00abMuchos de estos comentarios est\u00e1n escritos en chino e incluyen referencias a m\u00f3dulos de Windows Update, validaci\u00f3n de certificados, comprobaciones de integridad del sistema y funciones relacionadas con la implementaci\u00f3n\u00bb.<\/p>\n

El archivo VBScript se inicia utilizando \u00abWScript.exe\u00bb, que luego busca y ejecuta componentes VBScript adicionales necesarios para las siguientes etapas del ataque. Vale la pena se\u00f1alar que la cadena de infecci\u00f3n se comporta de manera un poco diferente seg\u00fan si la v\u00edctima usa WhatsApp Web o la aplicaci\u00f3n WhatsApp Desktop. <\/p>\n

\"\"<\/a><\/div>\n

En el caso del primero, el ataque se basa en que el usuario descargue el archivo en su sistema y luego lo abra desde la carpeta descargada o mediante el historial de descargas del navegador, asumiendo que es un documento leg\u00edtimo. En WhatsApp Desktop, el malware se ejecuta directamente dentro de la aplicaci\u00f3n, y el \u00e1rbol de procesos revela que \u00abWhatsApp.Root.exe\u00bb, el proceso en segundo plano asociado con la aplicaci\u00f3n cliente, es responsable de generar \u00abWScript.exe\u00bb.<\/p>\n

El objetivo principal de VBScript es descargar dos cargas \u00fatiles de VBScript secundarias desde un servidor remoto, una de las cuales intenta alterar el comportamiento del Control de cuentas de usuario (UAC) de Windows, mientras que la otra descarga y ejecuta un archivo ZIP que contiene el paquete de instalaci\u00f3n de ManageEngine RMM Central.<\/p>\n

La actividad sigue sin ser atribuida, sin embargo, la empresa rusa de ciberseguridad dijo que encontr\u00f3 superposiciones de infraestructura (\u00ab202.61.160[.]201\u00bb) con actividad previa vinculada a Gh0st RAT y ValleyRAT.<\/p>\n

\u00abLos usuarios deben tener cuidado al recibir archivos adjuntos inesperados a trav\u00e9s de WhatsApp, incluso cuando parezcan provenir de contactos conocidos\u00bb, dijo Kaspersky. \u00abLos tipos de archivos ejecutables y scripts como VBS, VBE, EXE, BAT, CMD, JS y PS1 no deben abrirse a menos que su legitimidad se haya verificado de forma independiente\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Los mensajes directos enviados a trav\u00e9s de WhatsApp se utilizan para distribuir archivos maliciosos de Visual Basic Script (VBScript) que conducen a la instalaci\u00f3n de software leg\u00edtimo de gesti\u00f3n y supervisi\u00f3n remota (RMM). Seg\u00fan los hallazgos de Kaspersky, la campa\u00f1a activa est\u00e1 dirigida a usuarios de WhatsApp Desktop y WhatsApp Web en Malasia, Brasil, India, […]<\/p>\n","protected":false},"author":1,"featured_media":1058,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[133,24,3258,57,517,3259,3260,36,1166,216,3257,1151],"class_list":["post-1273","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-campana","tag-cyberdefensa-mx","tag-documentos","tag-falsos","tag-herramienta","tag-instalar","tag-manageengine","tag-para","tag-rmm","tag-utiliza","tag-vbscript","tag-whatsapp"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1273","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1273"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1273\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1058"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1273"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1273"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1273"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}