Phishing que instala herramientas legítimas de control remoto: MSP360 y ScreenConnect
Una campaña de correo entrega un instalador firmado y legítimo de MSP360 RMM disfrazado de documento y lo usa para instalar después ScreenConnect como segundo acceso remoto.
Qué ha pasado
Los correos llevan un instalador firmado de MSP360 RMM presentado como una invitación a una reunión, un lector de PDF, un instalador de Zoom o un extracto. El fichero se aloja también en servicios legítimos como Amazon S3, Cloudflare R2, Dropbox, GitLab o Supabase. Una vez ejecutado, MSP360 instala ConnectWise ScreenConnect como segundo canal de acceso remoto. Microsoft vio además una variante con Faronics Deploy Agent. La campaña no se atribuye a ningún grupo conocido.
Por qué importa
La herramienta que se instala es legítima y está firmada, así que no salta como programa malicioso: lo que está mal es quién la ejecuta y para qué. Con dos canales de acceso remoto el atacante mantiene la sesión aunque se cierre uno de ellos, y la puerta queda abierta mientras nadie detecte la aplicación. Que el archivo se sirva desde servicios de confianza complica bloqueos por reputación del dominio, porque el dominio no es el problema.
Qué recomendamos
Mantener una lista de herramientas de administración remota autorizadas y detectar y bloquear todas las demás. Conviene revisar qué aplicaciones de acceso remoto están instaladas hoy en los equipos y quién las aprobó, porque en una plantilla grande siempre hay instalaciones antiguas que nadie recuerda haber hecho. Y explicar al usuario que un "lector de PDF" que pide instalarse nunca es un lector de PDF.
Servicio relacionado: SOC gestionado · Digital Workplace
¿Quieres saber cómo te afecta?
Revisamos tu entorno y te decimos qué hay que priorizar, sin compromiso.