Huntress opera en el espacio de las pequeñas y medianas empresas (SMB), en alianza con proveedores de servicios administrados (MSP), y como resultado, ve un amplio espectro de uso de herramientas de monitoreo y gestión remota (RMM). Si bien gran parte de este uso es legítimo y necesario, parte de ese uso se identifica como claramente malicioso, que es cuando los analistas de Huntress intervienen y les hacen la vida imposible a los hackers.
Persistencia mediante RMM
Se ha observado a actores de amenazas instalando herramientas RMM como una forma de mantener persistencia dentro de una organización comprometida. Los analistas de Huntress siguen reportando instalaciones fraudulentas de ScreenConnect, muy a menudo asociadas con estafas de mesa de ayuda o soporte técnico. Los analistas de Huntress también han visto varios incidentes en los que los actores de amenazas obtuvieron acceso por algún medio (a menudo el protocolo de escritorio remoto de Microsoft, o "RDP") e instalaron una herramienta RMM como AnyDesk o RustDesk para mantener persistencia.
Herramientas RMM heredadas
Sin embargo, incidentes recientes en los que actores de amenazas intentaron instalar ransomware, instalaron el minero de criptomoneda XMRig, o usaron la utilidad nativa curl.exe para exfiltrar datos de un endpoint, fueron claramente distintos, y todos tienen algo en común: el acceso inicial se obtuvo a través de una instancia de TeamViewer ya instalada. Es decir, el actor de amenazas no copió ni descargó los archivos de instalación de TeamViewer en el endpoint; más bien, accedió a una instancia de TeamViewer ya instalada, usando credenciales conocidas.
En algunos casos, el registro 'connections_incoming.txt' de TeamViewer muestra conexiones aparentemente legítimas que se remontan hasta 2018. En algunos casos, algunas de esas conexiones legítimas (según los nombres de usuario y endpoint de origen) se realizaron apenas días antes de que el actor de amenazas se conectara.
Esto no parece ser resultado de una vulnerabilidad en TeamViewer, ni de una mala configuración de este. Más bien, dada la facilidad de acceso, es altamente probable que las credenciales ya hubieran sido comprometidas por algún medio. En todos los casos observados, no se había instalado un agente de Huntress en todos los endpoints involucrados en el acceso legítimo, especialmente aquellos usados para acceder al endpoint legítimamente, por lo que la visibilidad es limitada. Por lo tanto, es posible que las credenciales se hayan obtenido de un endpoint distinto al monitoreado por Huntress. Por ejemplo, las credenciales e información relevante para acceder a las instancias de TeamViewer podrían haber sido robadas mediante un infostealer o un registrador de pulsaciones de teclas, y posiblemente obtenidas de un agente de acceso inicial (IAB).
Las herramientas RMM pueden ser útiles y, aun así, convertirse en el punto de apoyo de un atacante. Huntress Managed EDR le da a tu equipo visibilidad de endpoints y detección y respuesta respaldadas por expertos las 24 horas, los 7 días de la semana. Inicia una prueba gratuita o reserva una demo.
Dado el tiempo involucrado en un incidente observado recientemente (el actor de amenazas pasó 7 ½ minutos accediendo al endpoint A, 10 minutos accediendo al endpoint B), parecería que el actor de amenazas llegó a los endpoints con un plan ya definido para sus acciones, implementando los archivos necesarios (archivo por lotes pp.bat, LB3_rundll32_pass.dll) y lanzando rápidamente su ataque. Sin embargo, otras observaciones derivadas de las acciones del actor de amenazas incluyeron el hecho de que no hubo intento aparente de desarrollar conciencia situacional del entorno (es decir, qué aplicaciones y servicios ya se estaban ejecutando en el endpoint), ni hubo intentos de extender su alcance más allá del endpoint, moviéndose lateralmente dentro de la infraestructura. No hubo comandos de reconocimiento para recopilar información sobre el endpoint o la infraestructura, ni intentos de recopilar credenciales adicionales, ni información sobre otros endpoints en la red. De hecho, los intentos de ataque parecieron limitarse únicamente a los endpoints accedidos.
Este ataque fue similar en naturaleza a ataques anteriores vía TeamViewer donde se instaló el minero de criptomoneda XMRig; la única actividad parecía ser la instalación del minero, sin intentos observables de moverse más allá del endpoint hacia otros sistemas dentro de la infraestructura.
Conclusión
Abordar este problema requiere que nos apoyemos en lo básico de la higiene de TI y "cibernética", específicamente que desarrollemos un inventario de activos preciso, no solo respecto a los sistemas físicos y virtuales dentro de la infraestructura, sino también de las aplicaciones instaladas, en ejecución y accesibles en los endpoints. Esto es particularmente cierto cuando el dueño de una SMB cambia a un MSP diferente, ya que cualquier herramienta RMM heredada empleada por el proveedor anterior puede seguir brindando acceso a los endpoints administrados.
Si tienes TeamViewer instalado y lo usas regularmente para fines comerciales legítimos, asegúrate de revisar el archivo de registro 'connections_incoming.txt' para confirmar que no haya inicios de sesión sospechosos o maliciosos.
Cierra las brechas de visibilidad que usan los atacantes con Huntress Managed EDR en todos los endpoints. Inicia una prueba gratuita.
