SEK ha identificado una nueva campaña de ciberataques dirigida a empresas brasileñas a través de WhatsApp.
Los delincuentes utilizan números de teléfono aparentemente legítimos para distribuir archivos maliciosos disfrazados de comprobantes de pago,comprometiendo la seguridad de organizaciones en diversos sectores del país.
La estrategia de los atacantes es sofisticada y aprovecha la confianza establecida mediante la comunicación por WhatsApp.El enfoque comienza con un saludo cordial, seguido del nombre o número de la persona que recibe el mensaje, creando una apariencia de legitimidad. A continuación, los criminales envían un archivo comprimido en formato ZIP, acompañado de un mensaje que afirma: “Visualización permitida solamente en computadoras. Si está utilizando el navegador Chrome, se le puede solicitar ‘Mantener’ el archivo…”.
Esta instrucción fue elaborada específicamente para despertar la curiosidad de la víctima e incentivarla a descargar y abrir el archivo malicioso.
El análisis técnico realizado por SEK reveló que el archivo comprimido contiene un acceso directo que, en realidad, es una línea de comando ofuscada. Cuando se ejecuta, este acceso directo abre una solicitud a dominios maliciosos controlados por los atacantes, que incluyen:
zapgrande[.]com, sorvetenopote[.]com, expansiveuser[.]com y etenopote[.]com, además de las direcciones IP 23[.]227[.]203[.]148 y 109[.]176[.]30[.]141.
Estas solicitudes descargan el payload malicioso, establecen persistencia en el sistema comprometido y configuran un canal de comando y control con el framework Havoc.
Havoc es una herramienta de acceso remoto de código abierto muy utilizada por ciberdelincuentes por su versatilidad y capacidad de evasión. Una vez establecido el comando y control, los atacantes pueden capturar credenciales, robar información confidencial, monitorear actividades del usuario y utilizar el sistema comprometido como puerta de entrada a ataques más complejos.
El uso de números legítimos de WhatsApp hace que esta campaña sea particularmente peligrosa, ya que las víctimas pueden reconocer el número y creer que el mensaje proviene de una fuente confiable. Además, el contexto de comprobantes de pago resulta especialmente eficaz en el entorno corporativo brasileño.
SEK profundizó en campañas similares en nuestro Boletín de Inteligencia:
https://links.sek.io/bdi-golpeboletofalso2
SEK ya ha añadido los dominios y direcciones IP identificados en esta campaña a los mecanismos de detección y bloqueo en los entornos de los clientes bajo nuestra gestión.
Recomendaciones:
- Establecer programas continuos de concientización sobre ciberseguridad, capacitando a los empleados para reconocer intentos de ingeniería social.
- Implementar políticas estrictas de verificación para cualquier archivo recibido mediante mensajería instantánea antes de abrirlos en dispositivos corporativos.
- Configurar soluciones antimalware robustas y actualizadas en todos los endpoints.
- Mantener monitoreo continuo 24/7 para identificar comportamientos anómalos, con capacidad de respuesta especializada a incidentes.
- Adoptar soluciones de Threat Intelligence para mantener al equipo informado sobre campañas activas e indicadores de compromiso.
SEK permanece a disposición para aclarar dudas, implementar medidas de protección y responder a cualquier incidente relacionado con esta campaña.
