Están utilizando instalaciones de soporte remoto no autorizadas para propagar código malicioso entre computadoras con Windows. Esta técnica es notable porque un cliente de acceso remoto infectado puede transmitir cargas útiles a los sistemas conectados, ampliando la intrusión sin necesidad de engañar a cada víctima individualmente. La campaña comienza mediante ingeniería social, incluyendo phishing e interacciones falsas de soporte técnico.

Están convirtiendo las instalaciones no autorizadas de soporte remoto en una herramienta capaz de propagar código malicioso entre ordenadores con Windows.

Esta actividad destaca porque un cliente de acceso remoto infectado puede transmitir cargas útiles (payloads) preparadas a los sistemas conectados, ampliando la intrusión sin necesidad de un señuelo para cada víctima.

La campaña comenzó con ingeniería social, incluyendo interacciones falsas de soporte técnico, phishing y búsquedas fraudulentas de reembolsos. Las víctimas concedieron el acceso remoto o ejecutaron un instalador, permitiendo que los atacantes colocaran un cliente no autorizado en el dispositivo.

Este enfoque utiliza la confianza y los flujos de trabajo normales de soporte, no un fallo de software. Investigadores de Huntress identificaron este patrón en organizaciones no relacionadas durante incidentes críticos a finales de agosto.

El comportamiento repetido sugiere una operación coordinada, no un abuso aislado, y muestra cómo una herramienta de administración confiable puede convertirse en un canal de entrega una vez que un atacante controla su cliente.

El peligro no se limita al primer ordenador. El malware analiza el host, intenta evitar sistemas con ciertas herramientas de seguridad, establece una forma de regresar tras un reinicio y puede entregar herramientas adicionales.

Huntress indicó en un informe  que, en su ruta más avanzada, la operación puede elevar privilegios, debilitar las protecciones de Windows, tunelizar tráfico y ejecutar un minero de criptomonedas.

Dado que las sesiones remotas suelen parecer legítimas, la actividad puede camuflarse en la administración rutinaria hasta que los investigadores identifiquen ejecuciones de scripts inesperadas en los endpoints afectados.

Convierten ScreenConnect en un arma

Los clientes de ScreenConnect alterados lanzaban repetidamente Windows Script Host para ejecutar una cadena de scripts de cuatro etapas. Las primeras etapas comprobaban la máquina y preparaban contenido cifrado posterior; las etapas finales seleccionaban una carga útil basada en los resultados.

Un informe previo sobre ataques mediante descargas falsas de Adobe Reader muestra por qué los despliegues no autorizados de acceso remoto merecen la misma urgencia que el malware convencional.

El elemento más inusual apareció en los clientes modificados recuperados. Cuando una nueva sesión de host se ponía en línea, el cliente empaquetaba los scripts preparados a través de la función de transferencia de archivos de ScreenConnect y los marcaba para que se ejecutaran en la máquina conectada.

Esto convierte las conexiones remotas ordinarias en una ruta de infección y le otorga a la actividad un carácter similar al de un gusano. El código rastreaba los identificadores de conexión para evitar enviar la carga útil repetidamente durante una sesión activa.

Sin embargo, eliminaba esos registros después de la desconexión, lo que significa que volver a conectar el mismo sistema podría activar la cadena de entrega nuevamente. Esto difiere de un compromiso de soporte remoto de una sola vez, ya que las nuevas conexiones pueden ampliar el alcance del atacante.

Una rama instalaba un cliente de acceso remoto oculto con derechos elevados, mientras que otra incluía un túnel y software de minería.

Esto refleja un abuso más amplio de las herramientas de gestión remota para el control manual, visto en informes recientes de abuso de ScreenConnect. La herramienta no es malware, pero una instalación controlada por un atacante otorga a los externos un punto de apoyo duradero.

La ingeniería social abre la puerta

Estos incidentes muestran cómo una llamada, mensaje o descarga persuasiva puede conducir al compromiso de un endpoint. En un caso, la víctima utilizó Windows Quick Assist tras una estafa de soporte técnico. En otro, un señuelo de phishing llevó a la descarga de un instalador.

Tácticas similares han aparecido en ataques de Teams Quick Assist, donde los atacantes se hacen pasar por personal de soporte para obtener acceso interactivo.

Las organizaciones deberían reinstalar la imagen de los hosts afectados desde medios conocidos como seguros o realizar una instalación limpia del sistema operativo.

Tú, como administrador, también deberías revisar minuciosamente los despliegues de ScreenConnect locales, en lugar de asumir que un cliente de soporte remoto está autorizado solo porque utiliza un nombre familiar.

Los investigadores instaron específicamente a los defensores a tratar como sospechosas las entradas del registro de auditoría del servidor que muestren acciones de ejecución de archivos remotos desde un proceso invitado cuando hagan referencia a los scripts preparados.

También advirtieron que los nombres de los archivos pueden cambiar, por lo que los equipos de seguridad deben investigar cualquier actividad inusual de Windows Script Host o PowerShell vinculada a una sesión de ScreenConnect.

La cobertura de un fallo de seguridad crítico en ScreenConnect ofrece más contexto sobre por qué la revisión inmediata y el parcheo son importantes para la infraestructura de control remoto.

Para ti como usuario, la lección inmediata es sencilla: no compartas códigos de control remoto ni ejecutes software de soporte tras un contacto no solicitado, una ventana emergente o un resultado de búsqueda.

Las organizaciones deben establecer canales de soporte legítimos, restringir la instalación de software de gestión remota y aislar los dispositivos sospechosos antes de que los sistemas conectados queden expuestos y ocurran daños adicionales rápidamente en toda la organización.

Fuentes:
https://cybersecuritynews.com/hackers-weaponize-screenconnect/