Los equipos de inteligencia de Microsoft, en colaboración con ConnectWise, han revelado una campaña activa de ataques cibernéticos dirigida a servidores y cuentas de la plataforma de soporte técnico remoto (ConnectWise ScreenConnect). La campaña se basa en explotar la aplicación, que es una herramienta legítima de soporte remoto, para instalar clientes de acceso no autorizado y propagar un gusano malicioso avanzado conocido como (SCKit) en los dispositivos terminales de los clientes.
La cadena de ataque comienza a través de los servidores en la nube o locales de la plataforma ScreenConnect, donde se explota el cliente de acceso para establecer un canal de control y comunicación independiente de la infraestructura aprobada de los proveedores de servicios gestionados (MSP). El gusano malicioso despliega componentes de software adicionales, como archivos de descifrado en PowerShell y scripts de automatización, además de implantar la herramienta (RelayTrap) diseñada para atacar las estaciones de trabajo de los técnicos de soporte cuando se conectan para brindar asistencia a los usuarios afectados.
¿Qué representa en la práctica el ataque de SCKit?
La gravedad de esta campaña radica en su capacidad para invertir la dirección del ataque tradicional; en lugar de que los atacantes se limiten a comprometer los dispositivos terminales de los clientes, el gusano SCKit aprovecha las sesiones activas de soporte y autenticación de los técnicos para acceder a sus propias estaciones de trabajo. Una vez que se toma el control del dispositivo del técnico, los atacantes pueden utilizar las consolas administrativas para distribuir cargas maliciosas a dispositivos adicionales gestionados y extraer datos de sesiones de navegador y cookies sensibles.
Los análisis técnicos han demostrado que los piratas informáticos dependen de técnicas complejas para descifrar paquetes de datos utilizando identificadores de dispositivos (MachineGuid) y claves cifradas a través de algoritmos como AES y PBKDF2, además de crear tareas programadas y claves en el registro del sistema operativo para garantizar la persistencia y la estabilidad del acceso incluso después de cortar las conexiones iniciales.
Medidas preventivas y pautas de mitigación de riesgos
Las autoridades de seguridad enfatizaron la necesidad de tratar los aspectos de servidor y de cliente de la plataforma por separado, dado que eliminar un cliente no autorizado por sí solo no garantiza la eliminación de los archivos de persistencia o la revocación de las sesiones web comprometidas. Los pasos clave de remediación e investigación técnica incluyen:
- Deshabilitar los complementos de software afectados asociados con incidentes de vulnerabilidad de seguridad y seguir las pautas oficiales del proveedor.
- Actualizar los clientes de ScreenConnect en las estaciones de los técnicos a las versiones seguras, ya que actualizar la consola en la nube no actualiza automáticamente los clientes locales.
- Investigar los dispositivos a través de canales independientes, como la herramienta de respuesta en vivo de Microsoft Defender for Endpoint, y no depender de las sesiones sospechosas de la plataforma.
- Revocar las sesiones web comprometidas, rotar las credenciales y verificar los registros de comandos y las herramientas de administración utilizadas.
Microsoft proporciona consultas avanzadas de búsqueda y rastreo a través de la plataforma Defender XDR para ayudar a las organizaciones a detectar indicadores de compromiso asociados con archivos de carga útil, redes de comunicación y direcciones IP relacionadas con la actividad maliciosa.