Se ha detectado una estafa de phishing que distribuye PDFs fraudulentos para instalar herramientas de acceso remoto persistente. Los atacantes envían correos electrónicos con adjuntos que simulan ser documentos legítimos, como facturas o notificaciones urgentes. Al abrir el archivo, los usuarios son inducidos a descargar software malicioso que permite a los ciberdelincuentes controlar sus sistemas de forma encubierta.

Los equipos de seguridad han descubierto una campaña de spam activa que utiliza documentos PDF falsos para engañar a los usuarios y hacer que instalen software de monitoreo y gestión remota (RMM).

La campaña se dirige a organizaciones enviando correos electrónicos con archivos PDF adjuntos que parecen ser facturas, recibos o documentos importantes.

Cuando las víctimas abren estos archivos, ven un mensaje que afirma que el documento no se pudo cargar. El PDF luego dirige a los usuarios a hacer clic en un enlace para ver el contenido a través de lo que parece ser una página de descarga de Adobe Acrobat.

Este método de ataque es efectivo porque utiliza software legítimo en lugar de malware tradicional.

Las herramientas RMM son comúnmente usadas por equipos de TI para gestionar computadoras de forma remota. Cuando los atacantes las instalan, estas mismas herramientas proporcionan control total sobre los sistemas de las víctimas.

El software está firmado digitalmente y es confiable para la mayoría de los programas antivirus, lo que le permite eludir los controles de seguridad estándar.

Investigadores de SpiderLabs señalaron que los atacantes están distribuyendo estos documentos PDF maliciosos a través de operaciones de spam en curso.

En lugar de descargar el software real de Adobe, las víctimas instalan herramientas RMM que dan a los actores de amenazas acceso remoto persistente a sus sistemas.

Al abusar de software RMM confiable, los atacantes pueden mezclarse con la actividad normal de TI mientras mantienen acceso a largo plazo a redes comprometidas.

La campaña utiliza archivos PDF adjuntos con nombres que suenan urgentes como “Invoice_Details.pdf” o “Defective_Product_Order.pdf” para crear una sensación de urgencia.

Las víctimas creen que necesitan descargar software para ver documentos importantes, pero en realidad están instalando herramientas de acceso remoto controladas por atacantes.

Cadena de infección y tácticas de persistencia

El proceso de infección comienza cuando una víctima recibe un correo electrónico con un archivo PDF adjunto. Al abrir el documento, aparece un mensaje de error falso que indica que el contenido no se puede mostrar.

Luego se les pide a los usuarios que hagan clic en un enlace, que los lleva a una página que imita a Adobe. Esta página aloja instaladores de software RMM como ScreenConnect, Syncro, NinjaOne y SuperOps.

Una vez ejecutado, el instalador despliega silenciosamente el agente RMM en la computadora de la víctima.

La herramienta se conecta inmediatamente a servidores controlados por los atacantes, otorgándoles acceso remoto completo. Los atacantes pueden entonces ver la pantalla en tiempo real, controlar el mouse y el teclado, transferir archivos y mantener el acceso incluso después de reiniciar el sistema.

Dado que estas herramientas están diseñadas para la gestión legítima de TI, el software de seguridad rara vez las marca como amenazas.

Las organizaciones deberían restringir la descarga e instalación de cualquier herramienta RMM no aprobada por sus departamentos de TI.

Implementar soluciones de detección y respuesta en endpoints puede ayudar a identificar software de acceso remoto no autorizado.

Capacitar a los empleados para reconocer correos electrónicos de phishing y documentos PDF sospechosos sigue siendo esencial para prevenir la compromisión inicial.

Los equipos de seguridad también deberían monitorear el tráfico de red en busca de conexiones a servidores RMM inesperados y bloquear dominios maliciosos conocidos asociados con estas campañas.