Más de 56.000 usuarios de WhatsApp han sido infectados por el malware "lotusbail", que recopiló mensajes, contactos y archivos durante seis meses sin ser detectado.

• WhatsApp Web API library

WhatsApp es la aplicación de mensajería más utilizada en todo el mundo, y por ello se encuentra en la mira de los ciberdelincuentes, que buscan cualquier vulnerabilidad para infiltrarse en el sistema e infectar millones de dispositivos.

Recientemente, la firma de ciberseguridad Koi Security ha identificado un paquete malicioso alojado en un repositorio popular que ha estado recopilando información privada de los usuarios durante meses.

Los investigadores determinaron que el origen del problema era una librería distribuida a través de npm, el principal gestor de paquetes para JavaScript. El paquete, bautizado como lotusbail, superó las 56.000 descargas al presentarse como un fork funcional de Baileys, un proyecto legítimo utilizado para desarrollar sistemas de automatización basados en WhatsApp Web.

El engaño de la herramienta residía en que cumplía correctamente con sus funciones prometidas dado que permitía desarrollar aplicaciones sobre WhatsApp. Sin embargo, actuaba como un intermediario oculto, ya que todo el tráfico pasaba primero por el código malicioso. Durante la autenticación, el paquete capturaba credenciales y registraba cada mensaje enviado o recibido.

Además de los mensajes de texto, el malware filtraba listas completas de contactos, archivos multimedia, documentos compartidos e incluso tokens de inicio de sesión. También incluía una función que vinculaba automáticamente el dispositivo del atacante a la cuenta de la víctima mediante el sistema oficial de Dispositivos vinculados de WhatsApp. Esto significa que, incluso tras eliminar la librería infectada, el atacante podía mantener acceso indefinido a la cuenta mientras su dispositivo permaneciera autorizado.

Aunque el ataque estaba dirigido principalmente a desarrolladores que integraron Baileys en sus proyectos, los usuarios finales de estas herramientas también podrían haber sido afectados.

Por ello, los expertos recomiendan revisar la sección de “Dispositivos vinculados” en WhatsApp y cerrar inmediatamente cualquier sesión sospechosa para proteger la cuenta.

El paquete npm peligroso llamado “lotusbail” ha estado robando mensajes de WhatsApp y datos de usuarios a miles de desarrolladores en todo el mundo. El paquete, que ha sido descargado más de 56.000 veces, se disfraza como una biblioteca legítima de la API Web de WhatsApp mientras ejecuta secretamente malware en segundo plano. Se presenta como una bifurcación del paquete confiable “@whiskeysockets/baileys”, lo que lo hace parecer seguro para los desarrolladores que necesitan herramientas de integración de WhatsApp. El malware es particularmente peligroso porque realmente funciona como se anuncia. A diferencia de la mayoría de los paquetes maliciosos que se rompen o fallan rápidamente, lotusbail ofrece una funcionalidad real para enviar y recibir mensajes de WhatsApp. Este ingenioso enfoque le permite pasar las revisiones de código y ser implementado en sistemas de producción sin levantar sospechas. Los desarrolladores lo instalan, lo prueban, ven que funciona y nunca se dan cuenta del robo que ocurre entre bastidores.

El paquete ha permanecido activo en npm durante seis meses y todavía estaba disponible en el momento del descubrimiento. Durante este período, ha estado recopilando silenciosamente tokens de autenticación, historiales de mensajes, listas de contactos, archivos multimedia y manteniendo un acceso persistente de puerta trasera a las cuentas de WhatsApp infectadas. Los analistas de Koi identificaron la sofisticada campaña de malware después de detectar patrones de comportamiento inusuales durante el análisis en tiempo de ejecución del paquete. La información robada incluye claves de sesión completas de WhatsApp, todos los mensajes pasados ​​y presentes, directorios de contactos completos con números de teléfono y cualquier medio o documento compartido a través de la aplicación. El malware captura estos datos envolviendo el cliente WebSocket legítimo que se conecta a los servidores de WhatsApp, creando esencialmente un ataque de tipo "man-in-the-middle" que duplica todo lo que pasa a través de la conexión.

Robo de datos y mecanismo de cifrado

El malware utiliza un sistema de cifrado RSA personalizado para ocultar los datos robados antes de enviarlos al servidor del atacante.

Esta es una señal de alerta importante porque las bibliotecas legítimas de WhatsApp nunca necesitan cifrado adicional ya que WhatsApp ya proporciona cifrado de extremo a extremo. La capa de cifrado personalizada existe únicamente para cifrar los datos robados para que las herramientas de monitoreo de red no puedan detectar el robo. La dirección del servidor de exfiltración está oculta a través de cuatro capas de protección: manipulación de variables Unicode, compresión LZString, codificación Base-91 y cifrado AES.

Esto dificulta enormemente el rastreo de dónde se están enviando los datos robados. El malware también secuestra el sistema de emparejamiento de dispositivos de WhatsApp utilizando un código de emparejamiento codificado que está cifrado con AES. Esto significa que el atacante puede vincular su propio dispositivo a las cuentas de las víctimas, dándoles el control total incluso después de que el paquete malicioso se elimina del sistema. Para evitar la detección, el paquete incluye 27 trampas de bucle infinito que se activan cuando están presentes herramientas de depuración, lo que dificulta enormemente el análisis para los investigadores de seguridad.