Phishing que se hace pasar por la SSA y aprovecha herramientas RMM para persistencia: la campaña VENOMOUS#HELPER que afecta a más de 80 organizaciones

Una campaña de phishing activa detectada desde al menos abril de 2025 está explotando la confianza en herramientas de administración remota legítimas para conseguir y mantener acceso persistente a redes corporativas; el operador, identificado por algunos rastreos como VENOMOUS#HELPER y relacionado con clústeres etiquetados por Sophos como STAC6405, ha afectado a más de 80 organizaciones, mayoritariamente en Estados Unidos. Lo relevante no es sólo el engaño inicial —un correo que se hace pasar por la Administración del Seguro Social de EE. UU. (SSA) y redirige a sitios legítimos comprometidos para evitar filtros— sino la estrategia técnica: la instalación de dos soluciones RMM (SimpleHelp y ConnectWise ScreenConnect) de forma encubierta para crear una arquitectura redundante de acceso remoto que resiste intentos de mitigación.

El modus operandi combina tácticas de ingeniería social con técnicas de “living off the land” y abuso de software firmado: el ejecutable malicioso, empaquetado con JWrapper y hospedado temporalmente en un sitio legítimo comprometido, se instala como servicio de Windows con persistencia incluso en Modo Seguro, incorpora un “watchdog” que auto-revive el proceso cuando se finaliza y realiza sondas periódicas del entorno de seguridad mediante consultas al espacio WMI root\SecurityCenter2. Además, para habilitar control total del escritorio del usuario, el cliente SimpleHelp solicita SeDebugPrivilege y usa un componente legítimo (elev_win.exe) para escalar a SYSTEM, permitiendo leer pantallas, inyectar teclas y pivotar lateralmente; si SimpleHelp es detectado, el actor instala ScreenConnect como canal de respaldo.

Las implicaciones son graves: los defensores pueden ver software legítimo y firmado por un proveedor confiable, mientras que el atacante mantiene persistencia, movimientos laterales y posibilidad de retorno en cualquier momento. Este patrón encaja con actividades de Initial Access Brokers (IAB) y operaciones previas a ransomware: comprometer acceso de alto valor que luego se vende o se explota en fases posteriores. Para las organizaciones, la combinación de ingeniería social dirigida, staging en hosts legítimos y abuso de herramientas RMM reduce la eficacia de controles basados en firma y obliga a un enfoque de detección por comportamiento y arquitectura.

En términos prácticos, las defensas deben moverse en dos frentes: prevención del acceso inicial y detección/erradicación de la presencia RMM no autorizada. En la prevención, además de reforzar SPF/DMARC/DKIM y aplicar sandboxing de enlaces y descargas, es crítico limitar la capacidad de instalar software con privilegios: aplicar políticas de mínimos privilegios, usar listas blancas de aplicaciones (AppLocker o WDAC), y requerir aprobación explícita para la instalación de soluciones RMM. La protección del ecosistema web y de hosting también es esencial: monitorear accesos a paneles cPanel, rotar credenciales y revisar integridad de cuentas en hosting que podrían ser usadas para stage de binarios.

En detección e incidencia, los equipos deben buscar comportamientos concretos que delaten esta operación: creación de servicios persistentes que sobreviven a Modo Seguro, procesos que se reaniman automáticamente (watchdog), consultas frecuentes a WMI sobre productos de seguridad, sondeos regulares de presencia de usuario, ejecuciones de elev_win.exe o solicitudes a SeDebugPrivilege, y la aparición repentina de clientes RMM (SimpleHelp/ScreenConnect) en estaciones o servidores. Si hay sospecha, las acciones urgentes incluyen aislar los endpoints afectados, recolectar artefactos y memoria para análisis, desactivar accesos remotos no autorizados, rotar credenciales con privilegios y restablecer desde copias limpias si es necesario.

En la práctica de ciberinteligencia y respuesta a incidentes, es recomendable integrar reglas de detección que no dependan de firmas: alertas ante cambios en servicios Windows, patrones de reinicio automático de procesos, elevaciones de privilegio no justificadas y comunicaciones de RMM hacia dominios inusuales o recién registrados. Implementar segmentación de red y controles de salto lateral limita la capacidad de expandir el compromiso. Finalmente, la formación continua de usuarios para reconocer correos que impersonan instituciones oficiales sigue siendo un eslabón imprescindible.

Esta campaña recuerda que el hecho de que un binario esté firmado o provenga de un proveedor conocido no lo hace benigno por sí mismo cuando se instala sin control. Para profundizar en recomendaciones y marcos de mitigación sobre abuso de herramientas de acceso remoto y amenazas relacionadas con ransomware, pueden consultarse recursos oficiales como la guía de CISA sobre respuesta a ransomware en https://www.cisa.gov/stopransomware y análisis de la industria sobre abuso de RMM en los boletines de proveedores como Sophos y Red Canary, por ejemplo en https://news.sophos.com/ y https://redcanary.com/blog/. Actuar ahora, combinando higiene de correo, control de instalaciones y detección basada en comportamiento, es la mejor forma de mitigar este tipo de amenazas.