De un enlace de phishing a un extraño en su pantalla

ConnectWise ScreenConnect es software de soporte remoto. Los proveedores de TI lo usan todos los días para arreglar computadoras a distancia. Los atacantes también lo usan. Operan su propia copia y luego engañan a alguien de una empresa para que la instale. Una vez instalada, pueden ver la pantalla y controlar la computadora mientras esté encendida.

Este artículo surge de un trabajo de respuesta a incidentes que hicimos para una pequeña empresa. Omitimos quién era, cuándo y dónde pasó, y los detalles técnicos del caso. El patrón en sí es común, y vale la pena conocerlo.

Cómo pasa

1. El correo. Parece algo de rutina: un documento compartido, una factura, un estado de cuenta, una invitación o una solicitud de firma. Muchas veces llega desde una cuenta real de una empresa que usted conoce, porque primero se robaron esa cuenta. Eso le ayuda a pasar los filtros de spam, y a pasar desapercibido para la gente.
2. El enlace. Abre una página que dice que necesita un visor o un lector seguro para abrir el archivo. El botón descarga un instalador.
3. La instalación. El instalador es una copia auténtica y firmada de ScreenConnect, configurada para conectarse al servidor del atacante en lugar del de un proveedor de TI real. El antivirus que busca software malicioso conocido muchas veces la deja pasar, porque el software en sí es legítimo. Si la persona es administradora de su computadora, se instala en segundos. Cuando mucho ve un aviso que pide permitir cambios, y hace clic en Sí.
4. El acceso. La herramienta funciona en segundo plano y arranca con la computadora. El atacante puede ver la pantalla, mover el mouse, copiar archivos y ejecutar comandos. Muchos esperan a que termine el horario de trabajo, cuando no hay nadie frente a la computadora.
5. El daño. Con la computadora bajo su control, los atacantes leen correos y documentos, recogen las contraseñas guardadas en el navegador, entran a la banca y a la contabilidad, cambian los datos de pago en las facturas y envían más phishing desde el propio correo de la empresa. Muchos agregan una segunda herramienta remota, para que quitar la primera no los deje fuera.

Por qué funciona

• Es software real. Las herramientas de seguridad confían en él, y la gente también.
• Alguien de la empresa lo instaló. Nadie tuvo que forzar la entrada.
• En la mayoría de las pequeñas empresas, los empleados son administradores de sus propias computadoras.
• Nadie vigila las computadoras por la noche.

Cómo detectarlo

Señales que cualquiera puede revisar

• Un programa de soporte remoto que no recuerda haber instalado, en su lista de aplicaciones instaladas.
• El mouse que se mueve o ventanas que se abren solas, o una computadora que se enciende de noche.
• Un aviso de sesión remota, o un ícono nuevo junto al reloj.
• Alertas de inicio de sesión o correos para restablecer contraseñas que usted no pidió.
• Clientes o proveedores que preguntan por correos o cambios de pago que usted no envió.

Para quien maneja su TI

• Cualquier herramienta de acceso remoto que no esté en su lista aprobada. Si su empresa no usa ScreenConnect, cualquier copia es sospechosa. Si lo usa, revise que cada copia se conecte a su propio servidor.
• Servicios nuevos configurados para iniciar automáticamente, sobre todo los instalados desde la carpeta de Descargas de un usuario.
• Herramientas remotas que aparecen fuera de su proceso normal de instalación, o el mismo día en que alguien hizo clic en un enlace de un correo.
• Conexiones salientes a servidores de soporte remoto que usted no opera.

Qué lo detiene

Ningún producto por sí solo detiene todas las versiones de esto. Tres capas juntas le cierran el paso.

1. Admin By Request: sin derechos de administrador en el día a día

Admin By Request quita los derechos de administrador a las cuentas de uso diario. Cuando alguien necesita instalar algo, lo pide, alguien lo aprueba o no, y cada solicitud queda registrada. Un visor para una factura no se aprueba, así que el instalador se detiene ahí.

Algunas herramientas remotas pueden funcionar sin derechos de administrador. Esta capa reduce el ataque. No puede cerrarlo sola.

2. Huntress: alguien vigilando las 24 horas

Huntress funciona en cada computadora protegida y busca lo que deja una instalación maliciosa: una herramienta de acceso remoto que apareció de la nada, un servicio nuevo configurado para sobrevivir a un reinicio, una segunda herramienta agregada como respaldo. Sus analistas revisan lo que encuentra las 24 horas y pueden aislar la computadora de la red en minutos. Nosotros damos seguimiento para quitar lo que se instaló y averiguar qué se tocó.

Esta es la capa que lo atrapa cuando alguien hace clic en Sí de todos modos.

3. Verificación en dos pasos: una contraseña robada no basta

Las páginas de phishing muchas veces también piden una contraseña, y una herramienta remota le da al atacante cualquier contraseña guardada en el navegador. Con la verificación en dos pasos en el correo, la banca y la contabilidad, una contraseña sola no les abre la puerta. Use una aplicación de autenticación o una llave de seguridad cuando pueda. Los mensajes de texto son mejor que nada, pero son más fáciles de robar.

La verificación en dos pasos no protege las cuentas que ya tienen la sesión iniciada en la computadora comprometida. Por eso importa encontrar rápido la herramienta remota.

Hábitos que ayudan

• Tenga una lista corta de las herramientas remotas que su empresa realmente usa, y bloquee las demás.
• Enseñe a su gente a detenerse ante un "necesita un visor para abrir esto". Los documentos reales casi nunca lo necesitan. Nuestra capacitación en ciberseguridad incluye pruebas de phishing basadas en trampas como esta.
• Confirme cualquier cambio en los datos de pago llamando a un número que ya tenga.

¿No sabe qué hay en sus computadoras?

Podemos revisarlo. Una evaluación de seguridad revisa sus computadoras, sus cuentas y cómo están configuradas, y le dice qué corregir primero. Si algo está pasando ahora mismo, repórtelo o llame al 737-305-5448.

Rafael Pesquera, Digitaino Security