Los ciberdelincuentes están distribuyendo cada vez más herramientas maliciosas de Monitoreo y Gestión Remota (RMM) a través de sitios web falsos que imitan páginas de descarga de software popular. Estos sitios engañosos suplantan utilidades legítimas como Notepad++ y 7-Zip, engañando a los usuarios para que instalen herramientas de acceso remoto como LogMeIn Resolve en lugar del software que pretendían descargar.

Los ciberdelincuentes están distribuyendo cada vez más herramientas maliciosas de Monitorización y Gestión Remota (RMM) a través de sitios web falsos que imitan páginas de descarga de software popular.

Estos sitios engañosos suplantan utilidades legítimas como Notepad++ y 7-Zip, engañando a los usuarios para que instalen herramientas de acceso remoto como LogMeIn Resolve en lugar del software que pretendían descargar.

Una vez instaladas, estas herramientas RMM permiten a los atacantes tomar el control total de los sistemas infectados, ejecutar comandos de forma remota y desplegar cargas maliciosas adicionales como PatoRAT.

El ataque comienza cuando los usuarios llegan a páginas de descarga fraudulentas, a menudo a través de anuncios o manipulación de motores de búsqueda.

Estos sitios web replican fielmente la apariencia y el diseño de los sitios oficiales de distribución de software, lo que dificulta su detección para los usuarios promedio.

Cuando los visitantes intentan descargar Notepad++ o 7-Zip, los sitios falsos entregan LogMeIn Resolve o PDQ Connect —herramientas legítimas de gestión remota que los atacantes reutilizan con fines maliciosos.

Estas herramientas se registran en sus respectivas infraestructuras al instalarse, estableciendo una conexión persistente que los actores de amenazas explotan para mantener el acceso.

Analistas de ASEC identificaron un aumento significativo en ataques que aprovechan herramientas RMM durante la fase inicial de infección.

A diferencia del malware tradicional, estas aplicaciones legítimas de control remoto suelen evadir la detección de los antivirus, lo que representa un grave desafío para los equipos de seguridad.

Los investigadores documentaron casos en los que los atacantes desplegaron tanto LogMeIn Resolve como PDQ Connect para ejecutar comandos de PowerShell e instalar malware de puerta trasera, creando múltiples vías para la compromisión del sistema y el robo de datos.

Mecanismo de infección y despliegue de acceso remoto

El proceso de infección se basa en tácticas de ingeniería social que explotan la confianza de los usuarios en marcas de software conocidas. Los sitios web falsos muestran botones de descarga convincentes, números de versión y opciones de instalación que imitan a las páginas legítimas.

Cuando los usuarios ejecutan el instalador descargado, instalan sin saberlo LogMeIn Resolve o PDQ Connect en lugar de la utilidad esperada.

Estas herramientas RMM ofrecen funciones como soporte remoto, gestión de parches y monitorización del sistema —capacidades diseñadas para administradores de TI pero que los atacantes aprovechan para obtener acceso no autorizado.

Tras completar la instalación, las herramientas RMM se registran en su infraestructura de gestión basada en la nube, lo que permite a los atacantes conectarse de forma remota sin autenticación adicional.

Los actores de amenazas ejecutan comandos de PowerShell a través de la interfaz RMM para descargar e instalar PatoRAT, una puerta trasera que proporciona acceso persistente incluso si la herramienta RMM se elimina posteriormente.

Este enfoque en múltiples etapas garantiza el control continuo sobre los sistemas comprometidos y permite a los atacantes desplegar ransomware, robar credenciales o establecer puntos de apoyo en redes corporativas.

Solo debes descargar software desde sitios web oficiales y verificar las firmas digitales y certificados antes de la instalación.

Las organizaciones deberían implementar soluciones de detección y respuesta en endpoints capaces de monitorizar la actividad de las herramientas RMM e identificar patrones de acceso remoto sospechosos que indiquen una posible compromisión.