En los últimos tiempos, herramientas de productividad legítimas han sido abusadas para fines maliciosos, aprovechando la confianza que generan durante el trabajo remoto y la colaboración. Un análisis reciente destaca un caso en el que tableros públicos de Microsoft Power BI fueron utilizados para inducir a los usuarios a descargar software de acceso remoto, con el potencial de establecer una presencia prolongada dentro de redes corporativas.
Resumen de la campaña y su vector de ataque
– Los atacantes crearon un tablero público en Power BI que imitaba un documento borroso y presentaba un botón de “Descargar referencia”. Este diseño busca aprovechar la curiosidad y la urgencia de los usuarios para desbloquear o acceder a la información, un patrón común en campañas de phishing.
– Al hacer clic en el botón, el usuario es redirigido a un sitio controlado por los atacantes, desde el cual se inicia de forma automática la descarga de ScreenConnect, una herramienta legítima de acceso y soporte remoto.
– Aunque ScreenConnect (actualmente conocido como ConnectWise ScreenConnect) es una solución útil para gestión de dispositivos y soporte, en este contexto se convierte en un canal para acceso persistente si es instalado y gestionado por actores maliciosos.
Persistencia y posible impacto
– Los investigadores señalan que, tras desplegar una instancia de ScreenConnect, los atacantes configuraron una tarea programada para ejecutar repetidamente un script de PowerShell, y en al menos un caso eliminaron la primera instalación para dificultar la detección.
– Aunque no se ha determinado con certeza el objetivo final (robo de datos, ransomware, espionaje o fraude financiero), el establecimiento de múltiples puntos de acceso remoto indica una intención de mantener una presencia estable en la red para futuras intrusiones o ataques.
Qué nos enseña este incidente
– Este ataque demuestra que la confianza en herramientas ampliamente utilizadas—como Power BI— puede ser explotada para entregar payloads maliciosos, especialmente cuando se disfraza como documentos “resguardados” o “bloqueados” que requieren interacción del usuario.
– La utilización de servicios legítimos para facilitar la entrega subraya la necesidad de controles de seguridad que vayan más allá del filtro de correo tradicional, incluyendo monitoreo de comportamientos sospechosos y verificación de la procedencia de las descargas, especialmente cuando estas conducen a software de acceso remoto.
Buenas prácticas para defensa
– Desarrollar una cultura de escepticismo ante correos o mensajes que piden abrir archivos, desbloquear documentos o descargar herramientas, incluso si provienen de fuentes aparentes conocidas.
– Implementar controles que identifiquen y bloqueen descargas de herramientas de acceso remoto no autorizadas o no gestionadas por TI, así como la monitorización de instalaciones sospechosas o tareas programadas inusuales.
– Realizar revisión regular de permisos y accesos, especialmente para herramientas que permiten acceso remoto y transferencia de datos entre dispositivos.
– Educar a los usuarios para que verifiquen enlaces y publicaciones en dashboards o servicios compartidos antes de ejecutar acciones que requieren permisos o descargas.
Conclusión
Los ataques que abusan de herramientas de productividad legítimas, como Power BI, para distribuir software de acceso remoto y establecer presencia persistente, representan una amenaza real para las organizaciones. La defensa efectiva pasa por combinar concienciación de usuarios, controles técnicos robustos y monitoreo continuo de comportamientos inusuales para frenar intentos de intrusión y reducir el riesgo de impactos como robo de datos, espionaje o ransomware.
from Latest from TechRadar https://ift.tt/g5N8dIs
via IFTTT IA
