Campaña de phishing usa instaladores RMM para acceso remoto; 601 incidentes en 46 países

Una campaña de phishing que emplea instaladores legítimos de software de monitorización y gestión remota (RMM) para conseguir acceso remoto no autorizado ha resultado ser mucho más amplia de lo que parecía inicialmente. Investigadores de ANY.RUN vincularon 601 incidentes a esta operación, que usa documentos falsos como señuelo —desde formularios fiscales canadienses hasta avisos de envío, facturas o notificaciones del Seguro Social estadounidense— y se ha detectado en 46 países, con aproximadamente 45% del tráfico proveniente de Estados Unidos. Los hallazgos muestran un patrón de entrega rápido y descartable que complica la detección a base de simples listas de bloqueo.

Técnicamente, el engaño sigue una cadena repetible: correo con archivo o enlace fraudulentos → página de phishing alojada en infraestructuras efímeras → descarga de un paquete comprimido o instalador que instala o instruye la instalación de software RMM legítimo. ANY.RUN documentó 425 URLs de kits de phishing distribuidas en 240 hosts distintos; el 94% de esos hosts estuvo activo sólo un día, lo que indica una rotación masiva de infraestructura. Los atacantes usan plataformas de despliegue que permiten crear sitios públicos rápidamente —Vercel, GitHub Pages, Netlify— y también alojan cargas en servicios de almacenamiento como Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox y GoFile.

Aunque los dominios y alojamientos cambian constantemente, los investigadores consiguieron agrupar múltiples incidentes gracias a huellas persistentes en el kit de phishing: recursos compartidos como el archivo de fuente font1.woff2, una imagen recurrente icons8-microsoft-word-94.png y la estructura de entrega segura (secure.html que referencia project/*.zip). Esas piezas actúan como indicadores más estables dentro de una topología diseñada para desaparecer a los pocos días.

¿Por qué funciona este método? Porque combina ingeniería social con el abuso de software legítimo. Cuando la víctima ejecuta o instala un cliente RMM —a menudo en un archivo dentro de un ZIP protegido por contraseña para burlar filtros de correo— el atacante obtiene una conexión remota que suele permitir escalar privilegios, mover lateralmente dentro de redes corporativas y exfiltrar datos. El riesgo no es sólo la pérdida de información: los accesos remotos son una puerta de entrada habitual para desplegar ransomware, fraude financiero y compromisos a largo plazo de entornos TI.

Los sectores más frecuentemente observados incluyen educación, tecnología y administraciones públicas, con presencia relevante de banca, finanzas y manufactura. Estas observaciones confirman que los adversarios priorizan sectores con combinaciones de datos sensibles, capacidades de pago y dependencias operativas en sistemas remotos.

Hechos confirmados: ANY.RUN reportó 601 casos conectados a la operación, actividad en 46 países, ~45% del tráfico ligado a EE. UU., 425 URLs de kits en 240 hosts y un 94% de los hosts observados por un solo día. También está confirmada la rotación de infraestructura (Vercel, GitHub Pages, Netlify, etc.) y el uso de servicios de almacenamiento para payloads. Estimaciones e incertidumbres: no hay datos públicos verificados sobre el número total de víctimas afectadas ni sobre el actor o grupos responsables; tampoco está cuantificado el éxito operativo (tasa de instalaciones efectivas) ni la proporción de intrusiones que derivaron en incidentes mayores como ransomware.

Las consecuencias prácticas para organizaciones y usuarios finales son claras: control perdido sobre estaciones y servidores, posible exfiltración y utilización de acceso remoto para ataques posteriores. Además, la estrategia de rotación dificulta la contención mediante solo IOCs estáticos, porque los dominios y hosts desaparecen antes de que las listas de bloqueo se actualicen.

Recomendaciones concretas y operativas para equipos de seguridad y lectores técnicos:

1) Priorizar detección en la cadena de entrega y comportamiento, no solo en dominios. Buscar patrones repetidos como la secuencia secure.html → project/*.zip, recursos estáticos comunes (p. ej. font1.woff2, icons8-microsoft-word-94.png) y descargas de archivos comprimidos desde plataformas de despliegue efímeras. Crear reglas SIEM/EDR que correlacionen descargas de ZIPs procedentes de GitHub Pages, Vercel, Netlify u otros hosts públicos con ejecución posterior de instaladores RMM.

2) Fortalecer controles en la capa de correo. Bloquear o marcar para revisión los adjuntos comprimidos protegidos con contraseña procedentes de remitentes externos; exigir verificación adicional (por ejemplo, contacto fuera de la cadena de correo) antes de permitir su apertura. Implementar políticas que restrinjan la ejecución automática de contenido descargado y deshabiliten la extracción silenciosa de archivos desde correos.

3) Aplicar principios de cero confianza y hardening de endpoints. Restringir la instalación de software a listados aprobados; usar controles de elevación de privilegios y whitelisting de aplicaciones. Monitorizar procesos que establecen conexiones salientes inusuales y vincularlas con procesos de RMM o instalaciones recientes. Registrar y alertar sobre parent-child process chains donde navegadores descargan ejecutables y lanzan binarios desconocidos.

4) Habilitar detección y respuesta basada en contexto. Sandboxes interactivas que muestren actividad de navegador, scripts, descargas y conexiones (como las utilizadas por ANY.RUN) ayudan a distinguir entre uso legítimo y abuso. Enriquecer alertas con datos de Threat Intelligence para correlacionar kits persistentes con nuevos dominios descartables.

5) Concienciación práctica para usuarios finales. No ejecutar software de acceso remoto ni abrir archivos comprimidos de remitentes no verificados; comprobar legitimidad por canales alternativos (llamada a número oficial, portal corporativo). Para integradores y administradores, limitar el acceso RMM a ventanas de mantenimiento y aplicar registros y autenticación multifactor a sesiones remotas.

Estas recomendaciones deben implementarse de forma product-agnostic: el informe muestra que los atacantes intercambian herramientas y proveedores, por lo que depender de bloqueos por vendedor deja huecos. Para comprender mejor la técnica de acceso remoto y su clasificación en marcos de amenaza, puede consultarse la base ATT&CK de MITRE sobre software de acceso remoto (https://attack.mitre.org/techniques/T1219/). Para referencia sobre análisis interactivo de la campaña y los indicadores agrupados, ver la plataforma de ANY.RUN (https://any.run/).

En resumen, el elemento más preocupante de esta campaña no es la novedad de las herramientas, sino la combinación de ingeniería social con infraestructuras descartables y servicios legítimos como canales de entrega. Para defenderse de forma eficaz hace falta cambiar el foco: de IOCs estáticos a detección de cadenas de entrega y comportamiento anómalo asociado al uso de RMM, y operacionalizar inteligencia contextual que permita a los equipos SOC distinguir entre administración legítima y abuso.