Qué son las herramientas de monitoreo y gestión remota (RMM)
Qué son las herramientas de monitoreo y gestión remota (RMM)
Escrito por: Lizzie Danielson
Publicado: 25/9/2026
Las herramientas de monitoreo y gestión remota (RMM) son software legítimo que los equipos de TI y los proveedores de servicios administrados (MSP) usan para monitorear, mantener, solucionar problemas y controlar dispositivos de forma remota. El abuso de RMM ocurre cuando los actores de amenazas usan indebidamente esas mismas herramientas para obtener acceso remoto, mantener persistencia, ejecutar comandos, robar datos o implementar ransomware.
Aquí está la parte que confunde a la gente: una herramienta RMM no es maliciosa por naturaleza. El software en sí es el mismo, ya sea que un administrador de TI esté aplicando parches a una laptop o un atacante esté moviéndose silenciosamente por tu red. El riesgo proviene de la instalación no autorizada, credenciales comprometidas, implementaciones vulnerables o comportamiento sospechoso.
El software RMM le da a los equipos de TI y a los MSP un solo lugar para gestionar dispositivos a gran escala. Esto normalmente incluye:
Toda la propuesta de valor —un solo inicio de sesión, amplio alcance, mínima fricción— es exactamente el problema desde el punto de vista de la seguridad. Las mismas capacidades administrativas que le permiten a tu equipo de TI enviar un parche a 200 dispositivos con un clic pueden darle a un actor de amenazas ejecución de comandos, acceso a archivos, persistencia y una vía para moverse lateralmente por tu entorno, todo a través de una herramienta en la que tu stack de seguridad ya confía.
Los binarios y el tráfico legítimos de RMM muchas veces no activan las mismas alertas que activaría un malware personalizado. Un actor de amenazas que ejecuta comandos a través de ScreenConnect o AnyDesk puede parecer, sobre el papel, un administrador haciendo mantenimiento rutinario, porque para la mayoría de las herramientas de detección, eso es exactamente lo que parece.
Las herramientas RMM están diseñadas para el acceso remoto continuo; esa es su función principal. Una vez que una herramienta se ve comprometida o se instala de forma maliciosa, esa misma persistencia integrada se convierte en un punto de apoyo duradero para el atacante, sin necesidad de malware adicional.
Crear malware de acceso remoto personalizado toma tiempo y habilidad. Descargar una herramienta RMM comercial toma minutos. Huntress ha observado abuso con herramientas como ScreenConnect, Atera, AnyDesk, RustDesk, Splashtop, SimpleHelp, TeamViewer, Tiflux, y otras, todas de venta libre, todas software legítimo.
Las herramientas RMM son a menudo la columna vertebral de cómo los MSP gestionan a sus clientes, lo que las convierte en un objetivo de alto valor. Cuando la instancia RMM de un MSP se ve comprometida, los actores de amenazas podrían potencialmente obtener acceso a todos los clientes posteriores conectados a ella, convirtiendo un solo compromiso en muchos.
Hallazgo | Fuente |
El abuso de RMM aumentó 277% interanual en 2025 | |
El abuso de RMM representó casi el 24% de los incidentes observados | |
Más del 50% de los casos tras actividad sospechosa de Atera estuvieron vinculados a ransomware | Huntress, "RMM Abuse: When IT Convenience Bites Back" |
Un ataque de Kaseya en 2021 afectó a un estimado de 50 a 60 MSP y entre 1.500 y 2.000 organizaciones posteriores | Huntress, "RMMs: A Gateway for Bulk Attacks on MSP Customers" |
¿Por qué esconder malware frente a tus defensas cuando puedes abusar de software en el que tu organización ya confía? Descarga el Huntress Tragic Quadrant para ver qué tácticas aparecen con más frecuencia, qué tan cerca están de causar una interrupción real del negocio y por dónde empezar a cerrar la brecha.
La mayoría de los casos de abuso de RMM sigue un patrón reconocible:
Las investigaciones de Huntress han rastreado esta misma secuencia en instaladores de RMM entregados por phishing, credenciales de RMM robadas, múltiples herramientas de acceso remoto simultáneas, robo de credenciales e implementación de ransomware.
La detección debe centrarse en el comportamiento, no solo en qué producto está instalado. Presta atención a:
Incluso una herramienta de RMM aprobada puede sufrir abuso. Por eso necesitas una línea base real, para usuarios, dispositivos, horarios, destinos, rutas de ejecutables y acciones administrativas esperadas, en lugar de una simple lista de aceptados de nombres de herramientas.
No. Las herramientas de RMM son legítimas y se usan ampliamente por una buena razón: así es como los equipos de TI y los MSP gestionan los dispositivos de forma eficiente a gran escala. El riesgo no está en el software; está en las instalaciones no autorizadas, las credenciales comprometidas y el comportamiento sin monitorear.
El malware está diseñado para ser malicioso. El abuso de RMM usa software firmado y legítimo en el que tus herramientas de seguridad ya confían, y por eso es más difícil de detectar con los métodos de detección tradicionales.
La instancia de RMM de un MSP a menudo se conecta a muchos entornos de clientes a la vez. Comprometer una sola cuenta de MSP puede darle a un actor de amenazas acceso a cada negocio que ese MSP gestiona.
Una lista de aceptados ayuda, pero no basta por sí sola. Las herramientas aprobadas igual pueden sufrir abuso mediante credenciales robadas o configuraciones incorrectas, así que necesitas monitoreo basado en comportamiento junto con tu inventario y controles de acceso.
Recursos adicionales
Descubre qué significa la transformación de la ciberseguridad, por qué es esencial para las organizaciones modernas y cómo implementar una estrategia de seguridad integral.
Descubre qué es la seguridad de las aplicaciones y cómo protege las aplicaciones de vulnerabilidades, resguarda los datos y garantiza el acceso seguro de los usuarios.
Descubre cómo la ASPM da visibilidad de seguridad continua a lo largo del ciclo de vida del desarrollo de software, ayudando a las organizaciones a priorizar riesgos y agilizar la remediación.
