Microsoft ha alertado sobre nuevas campañas de phishing que están utilizando software de monitoreo y gestión remota (RMM, por sus siglas en inglés) legítimo, como MSP360 y ConnectWise ScreenConnect, para establecer acceso persistente a los sistemas de las víctimas. Los ataques afectan a organizaciones que pueden ser engañadas para ejecutar instaladores aparentemente inofensivos, comprometiendo así su infraestructura de TI.
Los atacantes distribuyen instaladores de MSP360 RMM v2.5.0.67 mediante correos de phishing que simulan invitaciones a reuniones, archivos PDF o actualizaciones de software. Una vez ejecutado, el instalador establece acceso de gestión remota usando nombres de archivo engañosos (ej., VIP_ECARD_INVITATION_rmm_v2.5.0.67_oid[redacted].exe). El software MSP360, al ser una herramienta administrativa confiable, les permite a los actores de amenazas obtener un punto de apoyo inicial, incluso elevando privilegios a través del Control de Cuentas de Usuario (UAC) de Windows y modificando la configuración del Firewall para permitir su tráfico. Para más detalles, consulte la publicación de Microsoft aquí.
Este acceso inicial es aprovechado para descargar e instalar una segunda herramienta RMM, ConnectWise ScreenConnect, creando un canal de acceso remoto redundante. Esta estrategia de “doble RMM” dificulta la detección, ya que camufla la actividad maliciosa dentro de flujos de trabajo de administración remota legítimos, permitiendo a los atacantes transferir herramientas adicionales, recolectar información y realizar operaciones de acceso a credenciales. Microsoft también ha observado variaciones donde se usa Faronics Deploy Agent en lugar de MSP360, confirmando la versatilidad de los atacantes para abusar de múltiples herramientas RMM. Ejemplos de nombres de instaladores utilizados son:
- VIP_ECARD_INVITATION_rmm_v2.5.0.67_oid[redacted].exe
- ZoomSetup_Installation_v2.5.0.67_ oid[redacted].exe
- PDF Reader & Editor the Adobe Acrobatte_rmm_v2.5.0.67_ oid[redacted].exe
- RSVP_INVITATION_E_CARD_rmm_v2.5.0.67_ oid[redacted].exe
- SSA.GOV_STATEMENT_rmm_v2.5.0.67_ oid[redacted].exe
Aunque la noticia no menciona parches o versiones corregidas para MSP360 o ScreenConnect como vulnerabilidades, las mitigaciones se centran en la prevención y detección. Es crucial fortalecer las defensas contra el phishing, educar a los usuarios sobre los riesgos de abrir archivos adjuntos o enlaces sospechosos, e implementar controles estrictos sobre la ejecución de software no autorizado. La detección temprana de actividades anómalas relacionadas con herramientas RMM también es fundamental.
Qué significa para tu empresa: Este tipo de ataque, que abusa de herramientas legítimas para infiltrarse y persistir, subraya la necesidad de una defensa en profundidad y monitoreo constante. Contar con un SOC con monitoreo 24/7 es vital para detectar actividades sospechosas, como la instalación inesperada de software RMM o modificaciones al firewall, que podrían pasar desapercibidas en un entorno de TI estándar, permitiendo una respuesta rápida antes de que el ataque escale.
Fuente original: The Hacker News — ver artículo →