Una campaña de espionaje digital sin precedentes ha sido descubierta en Pakistán, donde una aplicación maliciosa que se hace pasar por una plataforma de citas (GhostChat) engaña a las víctimas para que instalen un potente spyware en sus dispositivos Android. La investigación, realizada por el equipo de ESET, revela que la aplicación no solo extrae datos personales de forma silenciosa, sino que forma parte de una operación más amplia que incluye ataques a ordenadores mediante la técnica ClickFix y el secuestro de cuentas de WhatsApp a través de enlaces fraudulentos. Este hallazgo expone una nueva y peligrosa evolución en las tácticas de ingeniería social aplicadas al espionaje móvil, dirigida específicamente a ciudadanos pakistaníes con un nivel de sofisticación que combina el señuelo romántico con mecanismos de validación falsos.
GhostChat: la falsa aplicación de citas que oculta un spyware completo
El 11 de septiembre de 2025, una aplicación Android sospechosa fue subida a VirusTotal desde Pakistán. El análisis reveló que, aunque la aplicación utiliza el icono de una app de citas legítima llamada «Dating Apps without payment» (disponible en Google Play y sin relación con el malware), carece por completo de la funcionalidad original. En su lugar, actúa como un señuelo y una herramienta de espionaje móvil. ESET ha denominado a esta amenaza GhostChat, detectada como Android/Spy.GhostChat.A, y nunca ha estado disponible en Google Play, requiriendo instalación manual mediante la activación de permisos para orígenes desconocidos.
¿Cómo funciona el engaño de GhostChat?
GhostChat se presenta como una plataforma de chat donde los usuarios pueden iniciar conversaciones con supuestas «chicas», que en realidad son perfiles falsos operados probablemente a través de WhatsApp. La capa de engaño más novedosa reside en que estos perfiles aparecen bloqueados, requiriendo un código de acceso para poder interactuar con ellos. Sin embargo, estos códigos están hardcodeados en la propia aplicación, lo que significa que no hay ninguna verificación remota. Se trata de una táctica de ingeniería social destinada a crear una falsa sensación de «acceso exclusivo» para la víctima, haciendo que el señuelo romántico sea más creíble.
Tras conceder los permisos solicitados (que incluyen acceso a contactos, almacenamiento y notificaciones), la aplicación presenta una pantalla de inicio de sesión donde las credenciales (usuario: chat, contraseña: 12345) también están hardcodeadas en el código y no se envían a ningún servidor. Una vez dentro, la víctima ve una selección de 14 perfiles femeninos con foto, nombre y edad, todos marcados como «Bloqueados». Al intentar desbloquear uno, se solicita un código que también está precargado en la aplicación. Cada perfil está vinculado a un número de WhatsApp pakistaní (código de país +92) incrustado en la app. Al introducir el código correcto, la aplicación redirige al usuario a WhatsApp para iniciar una conversación con el número asignado, presumiblemente operado por el atacante. Esta falsa sensación de exclusividad y la verosimilitud de los perfiles locales aumentan la probabilidad de que la víctima confíe en el engaño.
El espionaje silencioso: exfiltración de datos y monitorización continua
Mientras la víctima interactúa con la aplicación, incluso antes de iniciar sesión, GhostChat ejecuta en segundo plano sus verdaderas funciones maliciosas. El spyware establece comunicación con un servidor de comando y control (C&C) y comienza a exfiltrar datos sensibles de forma silenciosa. La extracción inicial incluye el ID del dispositivo, la lista de contactos (en un archivo .txt subido al servidor) y todos los archivos almacenados en el dispositivo: imágenes, PDFs, documentos de Word, Excel, PowerPoint y formatos Open XML.
Pero la vigilancia no se detiene ahí. GhostChat configura un observador de contenido para monitorizar las nuevas imágenes que se crean en el dispositivo, subiéndolas automáticamente al servidor tan pronto como aparecen. Además, programa una tarea periódica que escanea en busca de nuevos documentos cada cinco minutos, asegurando una vigilancia continua y una recolección persistente de datos. Esto convierte a la aplicación en una herramienta de espionaje completa, capaz de seguir la actividad de la víctima a lo largo del tiempo.
La operación va más allá del móvil: ClickFix y ataques a WhatsApp
La investigación no se limitó a la aplicación Android. Al analizar el servidor C&C utilizado por GhostChat, los investigadores descubrieron tres archivos adicionales que se comunicaban con el mismo servidor: dos scripts batch y un archivo DLL. Estos hallazgos revelaron que el mismo actor de amenaza estaba llevando a cabo una operación de espionaje más amplia, atacando tanto ordenadores como cuentas de WhatsApp mediante técnicas complementarias.
Ataque ClickFix: cómo infectar un ordenador desde un sitio falso del PKCERT
Uno de los archivos DLL, alojado en una URL diferente, servía como carga útil en un ataque basado en la técnica ClickFix. ClickFix es una forma de ingeniería social que engaña a los usuarios para que ejecuten código malicioso manualmente, siguiendo instrucciones que parecen legítimas. En este caso, el ataque utilizaba un sitio web falso que suplantaba al Equipo de Respuesta a Emergencias Informáticas de Pakistán (PKCERT), ubicado en buildthenations.info. El sitio mostraba una falsa advertencia de seguridad que afirmaba que la infraestructura nacional y las redes gubernamentales estaban amenazadas, instando a los usuarios a hacer clic en un botón «Update».
Al hacer clic, se desencadenaban las instrucciones ClickFix que llevaban a la descarga y ejecución del DLL malicioso. Una vez cargado, este DLL iniciaba comunicación con el servidor C&C enviando el nombre de usuario y el nombre del ordenador de la víctima. Si no podía obtener estos datos, utilizaba valores predeterminados («UnUsr» y «UPC»). A partir de ahí, el DLL entraba en un bucle infinito, realizando peticiones al servidor cada cinco minutos a la espera de instrucciones. El servidor respondía con un comando de PowerShell codificado en base64, que el DLL ejecutaba de forma invisible, permitiendo al atacante ejecutar cualquier código arbitrario en la máquina comprometida. Aunque en el momento del análisis el servidor no respondía con cargas útiles, la infraestructura estaba claramente preparada para ello.
Ataque de vinculación de WhatsApp: suplantación del Ministerio de Defensa de Pakistán
El mismo dominio buildthenations.info se utilizó en una operación dirigida a usuarios de WhatsApp. Las víctimas eran atraídas a un sitio web que se hacía pasar por un canal del Ministerio de Defensa de Pakistán, invitándolas a escanear un código QR para unir sus dispositivos a WhatsApp Web o Desktop. Esta técnica, conocida como GhostPairing, permite al atacante obtener acceso completo a la cuenta de WhatsApp de la víctima, incluyendo el historial de chats, contactos y la capacidad de leer mensajes en tiempo real. La suplantación de una institución gubernamental de alto nivel aumenta la credibilidad del engaño y la probabilidad de que la víctima confíe en el código QR. WhatsApp eventualmente envía una notificación informando de que un nuevo dispositivo se ha vinculado, pero para entonces el daño ya está hecho. Esta no es la primera vez que se observa esta técnica; en 2023, el grupo APT GREF, alineado con China, utilizó el malware BadBazaar para vincular automáticamente las cuentas de Signal de las víctimas a dispositivos controlados por los atacantes.
Una campaña coordinada y multiplataforma con un objetivo claro
El conjunto de estos hallazgos pinta el cuadro de una campaña de espionaje altamente dirigida, que combina ingeniería social, entrega de malware y vigilancia tanto en entornos móviles como de escritorio. El uso de perfiles femeninos falsos con códigos de acceso hardcodeados, la suplantación de sitios gubernamentales pakistaníes y la explotación de funciones legítimas de WhatsApp demuestran un nivel de planificación y recursos significativo. Aunque la campaña parece centrarse en Pakistán, no hay suficiente evidencia para atribuirla a un actor de amenaza específico. La infraestructura compartida (el mismo servidor C&C) entre la aplicación Android, los scripts batch y el DLL de ClickFix confirma que se trata de un mismo operador.
La investigación también reveló que los códigos de acceso a los perfiles y las credenciales de inicio de sesión están hardcodeados, lo que implica que tanto la aplicación como los códigos se distribuyen probablemente juntos, posiblemente a través de campañas de phishing o mensajes directos en redes sociales. El uso de números de teléfono pakistaníes (+92) para los perfiles falsos sugiere que el operador posee múltiples tarjetas SIM locales o tiene acceso a un proveedor externo, lo que refuerza la ilusión de que los perfiles son reales y aumentan la credibilidad del engaño.
Para los usuarios de Android, Google Play Protect, habilitado por defecto en dispositivos con servicios de Google Play, ofrece protección automática contra las versiones conocidas de este spyware. Sin embargo, dado que GhostChat no está en Google Play y requiere instalación manual desde orígenes desconocidos, la principal línea de defensa sigue siendo la precaución del usuario: nunca instalar aplicaciones de fuentes no verificadas, sospechar de cualquier código de acceso «exclusivo» y desconfiar de mensajes o sitios web que prometan acceso a perfiles bloqueados o a canales gubernamentales mediante códigos QR.
La sofisticación de esta campaña, que mezcla señuelos románticos con una capa de validación falsa (códigos hardcodeados) y se complementa con ataques a ordenadores y cuentas de mensajería, marca un nuevo estándar en el espionaje dirigido. La combinación de técnicas de ingeniería social con malware multiplataforma demuestra cómo los actores de amenaza están evolucionando sus tácticas para maximizar el alcance y la efectividad de sus operaciones. La lección para los usuarios en Pakistán y en cualquier otra región es clara: lo que parece una oportunidad de conexión personal puede ser, en realidad, la puerta de entrada a una vigilancia completa y persistente sobre todos los aspectos de su vida digital.
