ACTUALIZACIÓN 02FEB2024 @ 1713 EST
El 2 de febrero, la comunidad en línea de seguridad de la información se llenó de rumores: el proveedor del software de control remoto AnyDesk podría haber sido comprometido. Esa mañana, todo era especulación – pero se vio corroborado por un período de mantenimiento inesperado de 48 horas y un cambio repentino en su certificado de firma de código en la última versión 8.0.8 del software AnyDesk.
ACTUALIZACIÓN 02FEB2024
AnyDesk publicó un comunicado oficial: "Hasta la fecha, no tenemos evidencia de que algún dispositivo de usuario final se haya visto afectado. Podemos confirmar que la situación está bajo control y que es seguro usar AnyDesk. Asegúrate de usar la última versión, con el nuevo certificado de firma de código."
¿Qué es AnyDesk?
AnyDesk es un software de control remoto, similar a otros como TeamViewer, LogMeIn y otras soluciones de escritorio remoto que suelen usarse para soporte técnico y resolución de problemas a distancia. El programa le permite a un usuario final conectarse al equipo de otro usuario y controlar su mouse y teclado, interactuando con su dispositivo como si estuviera sentado frente a él.
Muchas veces, AnyDesk se usa como una herramienta de monitoreo y gestión remota (RMM), que, con malas intenciones, los actores de amenazas pueden abusar para que funcione a la vez como un troyano de acceso remoto (RAT). Sin embargo, la preocupación por el posible compromiso de AnyDesk no tiene que ver con RMM ni con RAT... es una conversación sobre programas firmados y la legitimidad de los certificados.
Guía de mitigación
Algunos programas antivirus modernos pueden confiar de forma natural en una aplicación con un certificado firmado y legítimo. En este escenario, cualquier programa malicioso o no autorizado que estuviera firmado con el certificado de AnyDesk podría pasar desapercibido.
Por precaución, te recomendamos revisar o auditar cualquier uso anómalo de AnyDesk, y en especial cualquier otra aplicación o programa en ejecución con los mismos datos de certificado que AnyDesk.
Florian Roth compartió una regla YARA de la comunidad para detectar binarios firmados con un certificado de AnyDesk potencialmente comprometido – los resultados pueden variar.
Como recordatorio, esta posible vulneración sigue siendo un rumor – AnyDesk no ha emitido ninguna declaración pública u oficial al respecto.
¿Qué está haciendo Huntress?
Como medida proactiva, Huntress está implementando esfuerzos de detección para identificar rápidamente actividad anómala en procesos en ejecución que usen un certificado de AnyDesk potencialmente comprometido.
Esta capacidad de detección se incorporará a nuestra solución Managed EDR. Si eres socio de Huntress, seguimos monitoreando y protegiendo tus entornos.
Seguiremos agregando actualizaciones a este blog a medida que obtengamos más información. ¡Mantente al tanto!
