ESET, la empresa líder en detección proactiva de amenazas, ha alertado sobre una nueva actualización para la aplicación de WhatsApp en Windows. Esta actualización tiene como finalidad corregir una vulnerabilidad que permitía a cibercriminales ejecutar código malicioso escondido en mensajes que aparentaban ser imágenes.
La vulnerabilidad, identificada como CVE-2025-30401, fue detectada por un investigador independiente mediante el programa Bug Bounty de Meta. La compañía ha afirmado que no existen evidencias de que esta falla hubiera sido explotada antes de que se corrigiera, gracias a la pronta intervención.
WhatsApp ha solucionado este problema, que ponía en riesgo a sus usuarios, mediante una actualización automática de su aplicación. Para asegurarse de estar protegido, es importante contar con la versión 2.2450.6 o una más reciente en Windows.
Según Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica, «la explotación de esta vulnerabilidad permitía que los ciberatacantes enviaran archivos ejecutables disfrazados como imágenes u otros archivos similares. Esto se consigue modificando el tipo MIME, lo que engaña a la aplicación sobre cómo interpretar y mostrar el contenido. Así, el atacante podía enviar un mensaje a la víctima, haciendo que creyera que recibía un archivo de imagen, un PDF o un documento similar; al hacer clic, el archivo se ejecutaba como código malicioso, lo que podría incluir malware como infostealers o spyware, entre otras amenazas.»
El estándar MIME (Multipurpose Internet Mail Extensions) es utilizado para identificar el tipo de contenido de un archivo y cómo debe ser interpretado. Por ejemplo: image/jpeg indica un archivo JPG, mientras que application/pdf señala un PDF. Al manipular el tipo de MIME, el atacante puede engañar tanto a la aplicación como al usuario, aumentando la probabilidad de que el usuario abra el archivo al parecer inofensivo.
ESET también recuerda que al recibir un mensaje de un contacto no agendado, especialmente si parece ser de un banco, de una oficina gubernamental o de un proveedor de servicios que requiere una acción urgente, es recomendable no responder ni hacer clic en enlaces. En su lugar, es aconsejable bloquear al remitente y verificar la legitimidad del mensaje contactando directamente a la entidad. Es relevante señalar que las políticas de bancos y servicios de atención al cliente no autorizan a ningún operador a solicitar claves, contraseñas o códigos de validación.
“Los mensajes inesperados que piden a los usuarios actuar con urgencia son una táctica común en las campañas de phishing, lo que les dificulta ser detectedas a tiempo. El objetivo final de los atacantes es siempre el robo de información o intentar engañar a las víctimas con ofertas de productos inexistentes. Las artimañas son infinitas y los mensajes son cada vez más elaborados, diseñados para caer en el engaño”, añade Gutiérrez Amaya de ESET Latinoamérica.
Desde ESET, se aconseja a los usuarios tener en cuenta los siguientes puntos para resguardarse:
– Mantener actualizados dispositivos, sistemas operativos y aplicaciones; las actualizaciones no solo mejoran la experiencia, sino que también corrigen vulnerabilidades.
– Contar con un software antimalware o antivirus en los dispositivos, y asegurarse de que esté actualizado.
– Ser precavido con los archivos recibidos por WhatsApp, ya que los cibercriminales siempre buscan nuevas maneras de engañar.
– Recordar que, además de las vulnerabilidades, los mensajes de phishing están muy presentes. Desconfiar de mensajes urgentes de contactos desconocidos y verificar siempre con la fuente original.
– Nunca proporcionar información personal o financiera a desconocidos, y recordar que nadie debe solicitar claves o códigos de validación.
Con Información de osornoenlared.cl
