Las amenazas de ciberseguridad evolucionan constantemente, y una campaña reciente destaca una nueva táctica engañosa en la que los atacantes aprovechan los archivos de salvapantallas de Windows (.scr) para comprometer sistemas. Este método permite a los actores de amenazas desplegar herramientas legítimas de Monitorización y Gestión Remota (RMM), lo que les otorga acceso remoto persistente mientras eluden eficazmente los controles de seguridad estándar.

Las amenazas de ciberseguridad evolucionan constantemente, y una campaña reciente destaca una nueva táctica engañosa en la que los atacantes aprovechan los archivos de salvapantallas de Windows (.scr) para comprometer sistemas.

Este método permite a los actores de amenazas desplegar herramientas legítimas de Monitoreo y Gestión Remota (RMM), otorgándoles acceso remoto persistente mientras evaden eficazmente los controles de seguridad estándar.

Al utilizar software y servicios en la nube de confianza, estos atacantes pueden camuflar sus actividades maliciosas dentro del tráfico de red normal, lo que dificulta significativamente su detección para los centros de operaciones de seguridad.

El ataque suele comenzar con un correo de spearphishing que dirige a los usuarios a un enlace alojado en una plataforma legítima de almacenamiento en la nube, como GoFile.

Las víctimas son engañadas para descargar un archivo disfrazado de documento empresarial rutinario, con nombres como “InvoiceDetails.scr” o “ProjectSummary.scr” para parecer auténtico.

Analistas de Reliaquest señalaron que este uso específico de señuelos con temática empresarial para distribuir archivos .scr marca un cambio notable en la estrategia, ya que los archivos de salvapantallas suelen pasar desapercibidos para los usuarios, que no saben que son ejecutables completos.

Una vez que el usuario desprevenido ejecuta el archivo, un agente RMM legítimo, como SimpleHelp, se instala silenciosamente en el sistema.

Dado que estas herramientas se utilizan ampliamente para soporte técnico legítimo, su instalación y el tráfico de red posterior no suelen activar alarmas de seguridad.

Este punto de apoyo proporciona a los atacantes control interactivo, permitiéndoles robar datos sensibles, moverse lateralmente por la red o incluso desplegar cargas de ransomware.

El mecanismo de evasión y persistencia

La eficacia central de esta campaña radica en su capacidad para enmascarar la intención maliciosa detrás de infraestructuras de confianza.

Al emplear servicios legítimos de alojamiento en la nube para la entrega y software RMM aprobado para el comando y control, los atacantes evaden eficazmente las defensas basadas en reputación.

El formato de archivo .scr es particularmente peligroso porque Windows lo trata como un ejecutable portátil (PE), aunque muchas organizaciones no aplican los mismos controles estrictos a los salvapantallas que a los archivos .exe o .msi.

Cuando se instala el agente RMM, establece una conexión cifrada con la infraestructura del atacante. Como este tráfico imita la actividad administrativa legítima, suele eludir las reglas de firewall y los sistemas de detección de intrusiones.

Este enfoque de “vivir de la tierra” reduce la necesidad de malware personalizado por parte del atacante, disminuyendo sus costos de desarrollo mientras aumenta la dificultad de contención para los defensores, que deben distinguir entre el acceso remoto autorizado y el no autorizado.

Para defenderte contra esta amenaza, debes tratar los archivos .scr con la misma precaución que otros ejecutables.

Los equipos de seguridad deben bloquear o limitar estrictamente la ejecución de archivos de salvapantallas desde ubicaciones escribibles por el usuario, como la carpeta de Descargas, para evitar la infección inicial.

Además, es fundamental mantener una lista blanca estricta de herramientas RMM aprobadas e investigar cualquier instalación inesperada de software de gestión remota para garantizar que los agentes no autorizados se identifiquen y eliminen rápidamente.