Hackers usan aplicaciones de escritorio falsas para ocultar el acceso a ScreenConnect

Los ciberdelincuentes se hicieron pasar por tres grandes plataformas estadounidenses de recursos humanos y nóminas mediante ofertas falsas de aplicaciones de escritorio, según una investigación de Allure citada por TechRadar. No se identificaron las plataformas.

Los investigadores dijeron que los atacantes utilizaron Lovable, un servicio legítimo de creación de sitios web con inteligencia artificial, para crear páginas que imitaban las marcas, pero ofrecían aplicaciones de escritorio. Las plataformas son servicios en la nube accesibles mediante un navegador y, según el artículo, no ofrecen aplicaciones de escritorio legítimas.

Quienes hicieron clic en el botón de descarga recibieron un archivo ejecutable a través de GitHub Releases. Era una variante de ConnectWise ScreenConnect, una herramienta legítima de acceso remoto y asistencia informática. Los investigadores dijeron que estaba configurada para permitir el acceso desatendido y que se habían desactivado indicadores como el aviso de control, el icono de la bandeja del sistema y la notificación de conexión. Esto podría permitir que los atacantes se conectaran sin avisar al usuario.

Allure no identificó a los atacantes ni dijo si la campaña tuvo éxito. La página de descargas de GitHub mostraba 291 descargas, pero esa cifra no permite saber cuántas víctimas hubo ni cuántos ataques tuvieron éxito; investigadores y sistemas de análisis automatizado también podrían haber descargado el archivo. Según los investigadores, la campaña parecía dirigirse a departamentos de finanzas y recursos humanos. Allure planteó que el acceso podría servir para cometer fraude con las nóminas, pero no confirmó el objetivo de los atacantes ni informó de pérdidas.