Un cliente falso, acceso real
Los investigadores de Allure han informado de una campaña en la que los ciberdelincuentes disfrazan una herramienta de acceso remoto de aplicación de escritorio inexistente para grandes plataformas estadounidenses de recursos humanos y nóminas.
Los delincuentes imitaron tres conocidas plataformas estadounidenses de recursos humanos y nóminas. Es probable que las eligieran porque funcionan en la nube a través del navegador y no ofrecen un programa de escritorio propio. Ese hueco se convirtió en el señuelo: en páginas falsas se invitaba a los usuarios a descargar un «cliente de escritorio».
Para crear copias de los sitios, los delincuentes utilizaron Lovable, un servicio legítimo basado en inteligencia artificial que permite crear sitios y páginas de aterrizaje a partir de instrucciones de texto, sin conocimientos técnicos especializados. A primera vista, las páginas parecían las de las marcas auténticas, pero tenían una diferencia importante: un botón para descargar una aplicación que el proveedor real no ofrece.
El enlace llevaba a GitHub Releases, una función de GitHub destinada a publicar versiones listas para usar de programas. Como GitHub es un servicio legítimo y de uso muy extendido, la dirección podía no despertar sospechas.
El archivo descargado tampoco era malicioso en el sentido habitual. Eso le ayudaba a esquivar muchos antivirus y sistemas de protección de dispositivos y a instalarse en el ordenador sin generar avisos innecesarios.
Tras la instalación, la víctima obtenía una versión de ScreenConnect de ConnectWise. Es una herramienta legítima de acceso remoto y asistencia técnica que suelen utilizar los departamentos de TI y los proveedores de servicios gestionados. Permite a los técnicos conectarse a ordenadores y servidores, resolver problemas e instalar programas y actualizaciones.
Sin embargo, ese mismo mecanismo convierte ScreenConnect en una herramienta cómoda para los atacantes: el programa puede proporcionar acceso remoto, incluso con privilegios elevados, al sistema. Los investigadores afirmaron que la versión detectada estaba configurada para funcionar de forma oculta. El modo de acceso se había establecido como unattended («sin intervención del usuario») y las notificaciones estaban desactivadas: no aparecían el aviso de control del ordenador, el icono en la bandeja del sistema ni el mensaje emergente de conexión.
En otras palabras, los delincuentes podían conectarse al ordenador sin que su dueño se diera cuenta.
Allure no pudo determinar quién estaba detrás de la campaña ni informó de hasta qué punto tuvo éxito. Se supone que el ataque iba dirigido a los departamentos financieros y de recursos humanos. La página de descarga de GitHub mostraba 291 descargas, pero esa cifra no equivale al número de víctimas: el archivo pudo ser analizado por investigadores o ejecutado en entornos aislados, y algunos usuarios podrían haber detectado el ataque antes de sufrir daños graves.
Tampoco se conoce el objetivo exacto de los delincuentes. Allure plantea que podría tratarse de fraude mediante transferencias: el acceso oculto al ordenador de un empleado encargado de las nóminas podría abrir la puerta a redirigir o retirar toda la nómina de la empresa.
Los investigadores aconsejan a las empresas comprobar si su plataforma de recursos humanos o nóminas en la nube ofrece un cliente oficial de escritorio. Si el proveedor no lo publica, un enlace inesperado a una «nueva aplicación» no es una actualización: es motivo para parar y comprobar la fuente.
PEREC.RU
La campaña muestra cómo los delincuentes aprovechan la confianza en servicios corporativos conocidos y plataformas legítimas. Crearon copias de los sitios de tres grandes sistemas estadounidenses de recursos humanos y nóminas y añadieron una oferta para descargar un cliente de escritorio. A los usuarios podía parecerles plausible: muchos consideran normal que un gran servicio en la nube lance algún día una aplicación para el ordenador.
Lo especialmente peligroso es que no ofrecían a las víctimas un archivo evidentemente malicioso. La descarga se hacía a través de GitHub Releases y el programa instalado era una versión modificada de ScreenConnect, una herramienta auténtica de administración remota de ConnectWise. Los antivirus y los sistemas de protección suelen tratar con menos recelo estos programas legítimos que el código malicioso escrito expresamente.
La configuración de ataque desactivaba las señales de que había alguien conectado: no aparecían avisos de control del ordenador, el icono del programa ni las notificaciones de conexión. Así, una herramienta de asistencia habitual se convertía en una puerta oculta con control remoto. En potencia, los delincuentes podían ver y modificar los datos del ordenador, instalar programas adicionales y usar el acceso para infiltrarse más.
El principal riesgo está en que los objetivos presuntos eran los departamentos financieros y de recursos humanos. Si los atacantes acceden en secreto al ordenador de un empleado que gestiona los pagos de nóminas, pueden intentar cambiar los datos bancarios, redirigir los pagos o retirar fondos de la empresa. Allure contempla precisamente un escenario de wire fraud, es decir, fraude mediante transferencias.
Sin embargo, por ahora no hay pruebas de una intrusión masiva con éxito. No se ha identificado a los autores de la campaña, se desconoce el número de afectados y las 291 descargas de la página de GitHub no significan que hubiera 291 equipos infectados. Algunas descargas podrían corresponder a investigadores, sistemas de análisis automático o usuarios que detectaron el engaño antes de que causara daños.
La conclusión práctica es sencilla: las organizaciones deben comprobar si su proveedor de recursos humanos o nóminas ofrece un cliente oficial de escritorio. Si el servicio funciona únicamente en el navegador, un archivo que promete una «versión de escritorio» no debe considerarse una actualización. Hay que tratarlo como un posible señuelo, no instalarlo sin verificarlo y confirmar la información por los canales oficiales del proveedor.
