Phishing que instal·la eines legítimes de control remot: MSP360 i ScreenConnect
Una campanya de correu lliura un instal·lador signat i legítim de MSP360 RMM disfressat de document i el fa servir per instal·lar després ScreenConnect com a segon accés remot.
Què ha passat
Els correus porten un instal·lador signat de MSP360 RMM presentat com una invitació a una reunió, un lector de PDF, un instal·lador de Zoom o un extracte. El fitxer també s’allotja en serveis legítims com Amazon S3, Cloudflare R2, Dropbox, GitLab o Supabase. Un cop executat, MSP360 instal·la ConnectWise ScreenConnect com a segon canal d’accés remot. Microsoft va veure a més una variant amb Faronics Deploy Agent. La campanya no s’atribueix a cap grup conegut.
Per què importa
L’eina que s’instal·la és legítima i està signada, així que no salta com a programa maliciós: el que està malament és qui l’executa i per a què. Amb dos canals d’accés remot l’atacant manté la sessió encara que se’n tanqui un, i la porta queda oberta mentre ningú no detecta l’aplicació. Que el fitxer es serveixi des de serveis de confiança complica els bloquejos per reputació del domini, perquè el domini no és el problema.
Què recomanem
Mantenir una llista d’eines d’administració remota autoritzades i detectar i bloquejar totes les altres. Convé revisar quines aplicacions d’accés remot hi ha instal·lades avui als equips i qui les va aprovar, perquè en una plantilla gran sempre hi ha instal·lacions antigues que ningú no recorda haver fet. I explicar a l’usuari que un «lector de PDF» que demana instal·lar-se mai no és un lector de PDF.
Servei relacionat: soc-gestionado · Digital Workplace
Vols saber com t’afecta?
Revisem el teu entorn i et diem què cal prioritzar, sense compromís.