VBScript (Visual Basic Scripting Edition) es un lenguaje de scripting de Microsoft de 1996, integrado en Windows, que los atacantes han usado durante años para distribuir malware mediante adjuntos de correo y descargas.
Cómo funciona VBScript
VBScript es un lenguaje ligero derivado de Visual Basic. Los archivos .vbs se ejecutan con doble clic mediante Windows Script Host (wscript.exe o cscript.exe), y el lenguaje también funcionaba en Internet Explorer y en ASP clásico. Los administradores lo usaban para scripts de inicio de sesión y automatización antes de que PowerShell lo reemplazara.
Microsoft ha declarado VBScript obsoleto: se deshabilitó por defecto en Internet Explorer en 2019, pasó a ser una «característica a petición» opcional en Windows 11 versión 24H2 y está previsto retirarlo por completo de Windows en una versión futura.
Por qué VBScript importa para la seguridad
Al ejecutarse de forma nativa en cualquier Windows, ha sido una herramienta favorita de los atacantes, recogida en MITRE ATT&CK como T1059.005 (Command and Scripting Interpreter: Visual Basic):
- ILOVEYOU (2000): un gusano en VBScript enviado como LOVE-LETTER-FOR-YOU.TXT.vbs que infectó millones de ordenadores en pocos días.
- Adjuntos de correo: los archivos .vbs, a menudo ocultos en ZIP o disfrazados con dobles extensiones, actúan como primera fase de un loader de malware que descarga troyanos bancarios, infostealers o ransomware.
- Macros de Office: el VBA del malware de macros es un pariente cercano y a menudo deja caer archivos VBScript.
- Exploits de navegador: las vulnerabilidades del motor VBScript de Internet Explorer se usaron en ataques drive-by.
Como wscript.exe es un componente legítimo de Windows, estos ataques también son una forma de living off the land.
Cómo protegerse del abuso de VBScript
- Eliminar la característica VBScript donde ya no sea necesaria y planificar su retirada.
- Bloquear los adjuntos .vbs, .vbe y .wsf en la pasarela de correo.
- Asociar las extensiones de script con el Bloc de notas para que un doble clic no las ejecute.
- Usar control de aplicaciones para restringir wscript.exe y cscript.exe.
