Phishing con apps de trabajo firmadas EV instala RMM

Introducción: por qué esto importa

Los actores de amenazas están integrándose cada vez más con las operaciones legítimas de TI al desplegar herramientas comerciales de Remote Monitoring and Management (RMM). Esta campaña eleva aún más el listón al usar marcas familiares de “apps de trabajo” y firma de código EV para reducir la sospecha del usuario y mejorar las tasas de ejecución, convirtiéndola en una vía práctica de acceso inicial en empresas donde los usuarios instalan con frecuencia software de reuniones y documentos.

Qué hay de nuevo / hallazgos clave

Microsoft Defender Experts observó múltiples campañas de phishing atribuidas a un actor de amenazas no identificado. Las características clave incluyen:

• Señuelos de reuniones y documentos: Los correos se hicieron pasar por invitaciones a reuniones (Teams/Zoom/Google Meet), facturas, documentos financieros, licitaciones y notificaciones organizativas.
• PDF falsificados y páginas de descarga suplantadas: Algunos mensajes entregaban PDF falsos con un botón “Open in Adobe” que redirigía a un sitio de descarga de Adobe similar al legítimo que solicitaba una “actualización”.
• Ejecutables camuflados: Los payloads se nombraron para parecer instaladores confiables, incluidos msteams.exe, adobereader.exe, zoomworkspace.clientsetup.exe, invite.exe y trustconnectagent.exe.
• Abuso de confianza mediante firma EV: Los droppers estaban firmados digitalmente con un certificado EV emitido a TrustConnect Software PTY LTD, lo que ayudó a que parecieran legítimos.
• Despliegue de puerta trasera RMM: La ejecución condujo a la instalación de herramientas RMM como ScreenConnect, Tactical RMM y Mesh Agent, habilitando acceso remoto persistente.

Cómo la intrusión establece persistencia (aspectos técnicos destacados)

En la cadena centrada en ScreenConnect, el ejecutable de “workspace”:

• Se copió a sí mismo en C:\Program Files para parecer una aplicación instalada legítima.
• Se registró como un servicio de Windows para persistencia al inicio.
• Creó un autorun adicional mediante la clave Run:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Nombre del valor: TrustConnectAgent
  • Destino: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• Se conectó hacia afuera a infraestructura del atacante (en particular trustconnectsoftware[.]com).
• Usó PowerShell codificado para descargar payloads adicionales e invocó msiexec.exe para instalar ScreenConnect desde archivos MSI preparados.

Microsoft señaló casos en los que el MSI parecía sin firma, seguido por binarios de ScreenConnect firmados con certificados revocados, un patrón comúnmente asociado con despliegues maliciosos o no autorizados.

Impacto en administradores de TI y usuarios finales

• Los usuarios son objetivo a través de flujos de trabajo rutinarios: unirse a reuniones, revisar facturas y actualizar apps “desactualizadas”.
• Los equipos de TI y seguridad pueden ver cómo la actividad del atacante se mezcla con herramientas normales de administración, porque los agentes RMM pueden parecer soporte remoto autorizado.
• El riesgo aumenta tras el compromiso: la persistencia mediante servicios/autoruns más herramientas RMM puede acelerar el acceso a credenciales, el control remoto y el movimiento lateral.

Acciones recomendadas / próximos pasos

• Endurecer las rutas de instalación de software: restringir instalaciones iniciadas por el usuario cuando sea factible; aplicar allowlisting (p. ej., WDAC/App Control) para ejecutables “tipo instalador”.
• Auditar el uso de RMM: inventariar herramientas RMM aprobadas y bloquear o alertar sobre agentes no autorizados (ScreenConnect/Tactical RMM/Mesh) y creación de servicios sospechosa.
• Revisar decisiones de confianza de firma de código: tratar “firmado” como una señal, no como prueba. Agregar lógica de detección para publicadores nuevos/raros y binarios EV firmados inusuales.
• Hacer hunting de indicadores de persistencia: buscar la clave Run TrustConnectAgent, servicios inesperados y patrones sospechosos de msiexec.exe junto con PowerShell codificado.
• Fortalecer la resiliencia frente a phishing: reforzar la guía al usuario sobre indicaciones de “actualización requerida” desde correos/PDF y usar protecciones de Defender para detonar/inspeccionar adjuntos y enlaces.