Ciberseguridad: Nueva vulnerabilidad en ScreenConnect facilita ataques

La amenaza tras los clientes de ScreenConnect

El ecosistema de herramientas de soporte remoto ha vuelto a ser el centro de atención tras el descubrimiento de una sofisticada campaña de ataque. Investigadores de Huntress han revelado cómo actores malintencionados están abusando de ConnectWise ScreenConnect para ejecutar una cadena de infección de cuatro etapas mediante VBScript. Este comportamiento, similar al de un gusano, permite que el malware se propague automáticamente a nuevos sistemas conectados a la sesión remota comprometida.

Este tipo de incidentes nos recuerda que cualquier vulnerabilidad en software de acceso remoto es una puerta abierta para los atacantes. Tal como vimos recientemente en la Brecha en Manchester Airports Group: el hack que expone 86 GB de datos, la seguridad de los puntos finales es crítica para evitar el acceso no autorizado a información sensible.

Vectores de ataque: de la ingeniería social al despliegue masivo

Los investigadores han identificado tres métodos principales de acceso inicial, demostrando que los atacantes no dependen de una única técnica, sino que diversifican sus esfuerzos para maximizar su éxito:

1. Estafas de soporte técnico: Uso de Quick Assist para engañar a los usuarios y obtener acceso.
2. Phishing: Distribución de instaladores .msi maliciosos que inician la cadena de ataque.
3. Software falso: Suplantación de aplicaciones legítimas para engañar a la víctima.

"La capacidad de este malware para propagarse a sistemas recién conectados convierte a las herramientas de gestión remota en un vector de alto riesgo si no se supervisan adecuadamente", advierten los expertos.

El riesgo de un posible ransomware

Aunque el objetivo principal de esta campaña parece ser el establecimiento de persistencia, existe un temor latente entre los analistas de ciberseguridad: que este acceso sea el preludio de un ataque de ransomware a gran escala. Al controlar la sesión remota, el atacante puede desplegar cargas útiles adicionales, cifrar archivos o exfiltrar datos corporativos sin levantar sospechas inmediatas.

La higiene digital y la monitorización constante son las mejores defensas. Es fundamental restringir quién puede iniciar sesiones de control remoto y auditar regularmente los registros de actividad para detectar patrones de ejecución de scripts inusuales. En un entorno donde los ciberdelincuentes perfeccionan constantemente sus técnicas, la proactividad es la única garantía de supervivencia digital.

Fuentes: The Hacker News.