Introducción
El ransomware es una de las ciberamenazas más disruptivas, ya que cifra datos críticos de las organizaciones y exige el pago de rescates para su restauración. Si bien las primeras campañas se basaban en el phishing masivo o la distribución de malware oportunista, las operaciones modernas de ransomware han evolucionado hacia ataques altamente sofisticados y dirigidos. Los adversarios actuales no solo infectan equipos, sino que también se mueven lateralmente por las redes, recopilan credenciales, neutralizan las defensas y mantienen un control constante, todo ello con sigilo y evitando ser detectados.
Descargo de responsabilidad : Las herramientas de acceso remoto que se mencionan en este blog son software legítimo diseñado para la administración de TI y el soporte remoto. Este artículo destaca cómo los atacantes podrían utilizarlas indebidamente en campañas de ransomware si están mal configuradas, mal gestionadas o sin supervisión. Esto no implica que las herramientas sean inherentemente vulnerables o maliciosas.
Un factor clave que facilita estos ataques es la explotación de herramientas de acceso remoto (RAT) legítimas como AnyDesk, UltraViewer, AppAnywhere, RustDesk, CloneDesk, Splashtop y TightVNC . Diseñadas originalmente para la administración de TI y el soporte remoto, muchas de estas herramientas ofrecen versiones gratuitas o de libre acceso , que los atacantes suelen aprovechar porque son fáciles de implementar, gozan de amplia confianza y con frecuencia se incluyen en la lista blanca de entornos empresariales. Estas herramientas proporcionan:
- Acceso desatendido: Conectarse sin interacción del usuario
- Transferencia de archivos: Mover archivos binarios o exfiltrar datos
- Control de escritorio interactivo: Ejecutar tareas administrativas de forma remota
- Comunicaciones cifradas: Evadir la monitorización de la red
Las organizaciones suelen incluir en la lista blanca las herramientas de acceso remoto y confían en sus firmas digitales, que los atacantes aprovechan para eludir los controles de seguridad y permanecer ocultos. Comprender cómo se abusa de las herramientas de acceso remoto es fundamental para construir defensas eficaces contra las amenazas modernas de ransomware.
La cadena de ataque del ransomware: un análisis paso a paso
La cadena de ataque del ransomware describe cada etapa de un ataque, desde el acceso inicial hasta el impacto final. Cuando los atacantes utilizan herramientas legítimas de acceso remoto, obtienen sigilo, persistencia y control, lo que dificulta la detección y la mitigación.
Comprender cada etapa de la cadena de ataque es esencial para los defensores. No solo ayuda a reconocer patrones de ataque con antelación, sino también a construir defensas más sólidas y estratificadas para detener a los atacantes. Al desglosar cada fase, los equipos de seguridad pueden anticipar mejor el comportamiento del adversario y tomar medidas oportunas para interrumpir la actividad maliciosa antes de que cause daños graves. La siguiente sección ofrece un análisis detallado, paso a paso, de cómo los operadores de ransomware explotan las herramientas legítimas de acceso remoto para impulsar sus campañas.
Etapa 1: Acceso inicial – Compromiso de credenciales
Los atacantes obtienen acceso legítimo mediante credenciales robadas o obtenidas por fuerza bruta, eludiendo las defensas y haciéndose pasar por usuarios de confianza. Atacar cuentas de administrador proporciona el máximo control y permite etapas posteriores, como la implementación de la herramienta de acceso remoto y el desplazamiento lateral.
Vías de ataque comunes:
- Ataques de fuerza bruta contra puntos finales RDP/SMB
- Reutilización de credenciales de filtraciones o infracciones pasadas
- Dirigir las cuentas de administrador a privilegios máximos
Indicadores de detección:
- Identificadores de eventos de Windows 4625 → 4624 (varios inicios de sesión fallidos seguidos inmediatamente de uno exitoso)
- Tipo de inicio de sesión RDP 10 en horarios inusuales
- Inicios de sesión desde geolocalizaciones inesperadas.
Etapa 2: Abuso de herramientas remotas: secuestro vs. instalación silenciosa
Tras obtener acceso, los atacantes se centran en la implementación de la herramienta de acceso remoto para lograr una persistencia sigilosa. Pueden secuestrar una herramienta de acceso remoto existente para evitar la detección o realizar una instalación silenciosa con instaladores firmados que ocupan poco espacio. La instalación silenciosa suele aprovechar indicadores conocidos de la línea de comandos, la documentación del proveedor o la ingeniería inversa para encontrar los parámetros de implementación.
Método 1: Secuestro de herramientas de acceso remoto existentes
- Enumerar las herramientas de acceso remoto instaladas a través de WMI, registro o PowerShell.
- Agregue credenciales de atacante o modifique las configuraciones de acceso.
- Evita la creación de nuevos archivos o procesos, reduciendo el riesgo de detección.
Método 2: Instalación silenciosa de herramientas de acceso remoto
- Implemente instaladores livianos y firmados sin interacción del usuario.
- Banderas de instalación silenciosa: /S, /VERYSILENT, /quiet, /NORESTART.
| Herramientas remotas | Comandos | Propósito / Efecto |
| AnyDesk | anydesk.exe –install “C:\ProgramData\AnyDesk” –silent –start-with-win | Servicio de acceso remoto persistente |
| Visor ultra | UltraViewer_Setup.exe /MUY SILENCIOSO /NORESTART | Instalación silenciosa sin reiniciar |
| Aplicación en cualquier lugar | msiexec /i AppAnywhere.msi /quiet /norestart | Implementación silenciosa de estilo empresarial |
| Escritorio Rust | rustdesk.exe –service install –password “Str0ngPass123” | Permite el acceso remoto desatendido |
| CloneDesk | CloneDesk_Setup.exe /S /D=C:\ProgramData\CloneDesk | Instalación con mínimo espacio |
| Splashtop | Splashtop_Streamer.exe /s /i silencioso=1 comprobación previa=0 confirmación=0 | Implementación empresarial silenciosa |
| TightVNC | tightvnc-setup.exe /S /NORESTART | Instalación oculta basada en CLI |
Etapa 3: Persistencia y consolidación de privilegios
Los atacantes aprovechan las claves de ejecución del registro (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), las tareas programadas ocultas y las modificaciones de los archivos de configuración para mantener la persistencia. La escalada de privilegios se logra mediante herramientas como PowerRun o TrustedInstaller, lo que permite que las Herramientas de Acceso Remoto se ejecuten con privilegios de SISTEMA y eludan las restricciones de usuario.
Mecanismos:
- Claves de ejecución del registro: HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
- Tareas programadas: Tareas ocultas para reiniciar automáticamente las herramientas de acceso remoto
- Archivos de configuración: Modificar config.toml (RustDesk) para acceso desatendido
- Escalada de privilegios: Inicie la herramienta de acceso remoto como SISTEMA usando PowerRun o TrustedInstaller
- Monitoreo: Nuevas claves de registro, tareas programadas, procesos elevados de la herramienta de acceso remoto
Etapa 4: Neutralización antivirus y análisis forense
Mediante las Herramientas de Acceso Remoto, los atacantes pueden detener interactivamente los servicios antivirus, manipular las políticas de grupo y agregar directorios de las Herramientas de Acceso Remoto a las listas de exclusión. Se borran los registros críticos y se utilizan herramientas de destrucción de archivos para eliminar la evidencia forense, lo que dificulta la investigación posterior al incidente.
técnicas:
- Detener los servicios antivirus: parada sc o parada neta
- Manipulación de políticas: Agregue directorios de herramientas de acceso remoto a las exclusiones.
- Borrado de registros: Los adversarios suelen utilizar las siguientes líneas de comando como parte de Anti-Forensics para borrar los registros de eventos:
wevtutil cl Seguridad
Sistema wevtutil cl
Aplicación wevtutil cl - Destrucción de archivos: Eliminar artefactos forenses
Etapa 5: Despliegue y ejecución de la carga útil
Los atacantes detienen los servicios antivirus, modifican las políticas de seguridad, desactivan los mecanismos de recuperación, borran los registros de eventos y destruyen archivos confidenciales para evadir la detección y obstaculizar las investigaciones forenses. También pueden manipular las soluciones de copia de seguridad, desactivar las instantáneas y usar archivos binarios de origen local (LOLBins), como rundll32 o PowerShell, para combinar acciones maliciosas con procesos legítimos. Estas acciones garantizan una visibilidad mínima para los defensores y crean un entorno seguro para la ejecución de ransomware.
Mecanismo:
- El ransomware se distribuye a través de canales de herramientas de acceso remoto, a menudo disfrazados de actualizaciones confiables o acciones administrativas, y se ejecutan dentro de sesiones remotas existentes para eludir las sospechas de los usuarios y el monitoreo de seguridad.
Etapa 6: Expansión lateral
El movimiento lateral se facilita a través de la reutilización de credenciales, la propagación de herramientas de acceso remoto o la explotación de implementaciones de herramientas de acceso remoto empresariales.
Mecanismos:
- Reutilización de credenciales en todos los puntos finales
- Explotación de la herramienta de acceso remoto empresarial para implementación masiva
indicadores:
- Varios puntos finales informan nuevas conexiones de la herramienta de acceso remoto
- Tareas programadas no autorizadas o modificaciones del registro en diferentes máquinas
Etapa 7: Impacto: cifrado y bloqueo
La ejecución de la carga útil del ransomware activa el cifrado de datos, el bloqueo de cuentas y la modificación de credenciales de la herramienta de acceso remoto para impedir la remediación administrativa. Campañas como las variantes LockBit, Black y Basta demuestran esta etapa final en ataques reales.
Resultado:
- Cifrar archivos en los sistemas de destino
- Bloquear cuentas o cambiar las credenciales de la herramienta de acceso remoto para evitar la remediación
Ejemplos de campañas del mundo real
A continuación se presentan herramientas de acceso remoto que los adversarios suelen utilizar de forma abusiva en campañas de ransomware para lograr persistencia, implementación y movimiento lateral.
| Remoto Acceso | Campañas de ransomware asociadas |
| AnyDesk | TargetCompany, D3adCrypt, Makop, Mallox, Phobos, LockBit 2.0, LockBit 3.0, LockBit 2025 Renegade, Beast, Dharma, Proton/Shinra, MedusaLocker |
| Visor ultra | Bestia, CERBER, Dharma (familia .cezar), GlobeImposter 2.0, LockBit 3.0, Makop, Phobos, SpiderPrey, TargetCompany |
| Aplicación en cualquier lugar | Makop, Ryuk, D3adCrypt, Dharma |
| Escritorio Rust | Mímico, LockXXX, Dyamond, D3adCrypt, Makop |
| Splashtop | Makop, BlueSky, RansomHub, Próxima |
| TightVNC | Cerber 4.0 / 5.0 |
Mapeo TTP de actores de amenazas (MITRE ATT&CK)
Comprender las tácticas, técnicas y procedimientos (TTP) que utilizan los adversarios es crucial para defenderse de las campañas de ransomware basadas en herramientas de acceso remoto. Al mapear estas actividades con el marco MITRE ATT&CK, los equipos de seguridad pueden visualizar cómo los atacantes obtienen acceso, implementan herramientas, mantienen la persistencia, escalan privilegios y, finalmente, distribuyen cargas útiles de alto impacto. La siguiente tabla destaca las etapas clave del ataque, las técnicas utilizadas y las herramientas de acceso remoto comúnmente utilizadas en cada paso.
| Cíclos | Tecnologia | ID de subtécnica MITRE ATT&CK | Observaciones |
| Acceso inicial | Fuerza Bruta | T1110.001 | Dirigir los puntos finales RDP/SMB para obtener acceso inicial |
| Implementación de herramientas | Transferencia de herramientas de ingreso | T1105 | Utilidades de acceso remoto transferidas para su ejecución |
| Ejecución | Servicios remotos | T1021.001 | Sesiones remotas utilizadas para ejecutar cargas útiles |
| Persistencia | Claves de ejecución del registro | T1547.001 | Claves de registro creadas/modificadas para la persistencia de la herramienta |
| Escalada de privilegios | Mecanismo de control de elevación por abuso | T1548.002 | Se observa elevación de privilegios para ejecutar herramientas con derechos de SISTEMA |
| Evasión de defensa | Debilitar las defensas | T1562.001 | Servicios de seguridad deshabilitados, registros borrados |
| Movimiento lateral | Servicios remotos | T1021.001 | Servicios remotos abusados para moverse entre puntos finales |
| Generar impacto | Datos cifrados para impacto | T1486 | Herramientas utilizadas para implementar ransomware y cifrar datos |
Tendencias emergentes y amenazas futuras
A medida que los operadores de ransomware evolucionan, surgen nuevas tácticas que van más allá de la explotación local tradicional. Estas tendencias ponen de relieve cómo los atacantes combinan la automatización, el abuso de la nube y los ecosistemas RaaS para maximizar la escala y el sigilo de sus operaciones.
- AIImplementación de la herramienta de acceso remoto impulsada por: Toma de decisiones automatizada para cargas útiles
- Abuso de la herramienta de acceso remoto en la nube: Explotación de portales de acceso remoto basados en la nube
- Integración de RaaS: Herramientas de acceso remoto integradas en ofertas de ransomware como servicio para campañas empresariales
- Ataques de múltiples etapas: Compromiso inicial de la herramienta de acceso remoto seguido de cargas útiles secundarias (exfiltración de datos, criptojacking, ransomware lateral)
Qué tan rápido sana / Seqrite Protéjase contra estas actividades.
Los actores de ransomware pueden intentar convertir en armas herramientas confiables, pero Quick Heal y Seqrite Están diseñados con múltiples capas de defensa para detenerlos en seco. Al combinar la monitorización en tiempo real, la autoprotección y la detección avanzada de comportamiento, estas soluciones garantizan que los atacantes no puedan desactivar fácilmente la seguridad ni pasar desapercibidos.
- Protección contra el virus: Detecta y neutraliza activamente instaladores troyanizados o cargas útiles ocultas antes de que puedan ejecutarse.
- Autoprotección antivirus: Evita que los atacantes finalicen o desinstalen de forma forzosa los servicios de seguridad.
- Detección basada en el comportamiento: Supervisa actividades anormales vinculadas al ransomware, como cambios masivos de archivos o inicios de procesos sospechosos.
- Protección contra ransomware: Bloquea intentos de cifrado no autorizados en tiempo real, cortando el ataque antes de que se bloqueen los datos.
- Control de aplicaciones: Restringe el uso de herramientas remotas no autorizadas, garantizando que solo se puedan ejecutar aplicaciones confiables.
Mejores prácticas y recomendaciones de seguridad
Defenderse del ransomware no se trata solo de contar con las herramientas adecuadas, sino también de usarlas con prudencia y desarrollar hábitos diarios sólidos. Aquí hay algunas medidas prácticas que toda organización puede tomar para anticiparse a los atacantes:
- Restringir el uso de herramientas de acceso remotoConserve solo las herramientas remotas que realmente necesite y elimine el resto. Cuantos menos puntos de acceso, más seguros estarán sus sistemas.
- Implementar la autenticación multifactor (MFA): Incluso si los atacantes roban una contraseña, MFA hace que sea mucho más difícil para ellos iniciar sesión.
- Limitar los derechos administrativos: No otorgues privilegios de administrador a menos que sea absolutamente necesario. Menos privilegios implican menos daños si una cuenta se ve comprometida.
- Auditoría y monitoreo continuo de registros: Vigile de cerca sus registros: inicios de sesión inusuales, instalaciones silenciosas o comandos de configuración extraños pueden ser señales de alerta temprana.
- Actualizaciones y parches periódicos: Manténgase al tanto de las actualizaciones de sus sistemas operativos y herramientas de seguridad para que los atacantes no puedan explotar fallas antiguas.
- Capacitación en concientización del usuario: Las personas son la primera línea de defensa. Capacitar al personal para detectar correos electrónicos de phishing o actividades sospechosas de soporte remoto puede detener los ataques incluso antes de que comiencen.
Conclusión:
Las herramientas de TI legítimas pueden convertirse fácilmente en vectores de ataque ocultos si se gestionan de forma inadecuada, y el abuso de las herramientas de acceso remoto es ahora un factor crítico que facilita el ransomware de nueva generación. Para contrarrestar este riesgo, las empresas necesitan un enfoque multinivel que combine gobernanza, supervisión y respuesta rápida.
Curación rápida y Seqrite Desempeñan un papel fundamental en esta estrategia de defensa, proporcionando una sólida protección antivirus, detección de comportamientos maliciosos y protección contra el ransomware. Combinadas con una gobernanza estricta y una respuesta eficaz ante incidentes, las organizaciones pueden adelantarse a los atacantes.
Las medidas clave incluyen:
- Gobernanza y listas blancas de herramientas de acceso remoto
- Protecciones antivirus multicapa con tecnología Quick Heal / Seqrite
- Detección de comportamiento y filtrado de salida
- Respuesta rápida a incidentes para contención y recuperación
Al adoptar esta estrategia de defensa de múltiples capas, las organizaciones pueden detectar, contener y mitigar de manera proactiva las campañas de ransomware basadas en herramientas de acceso remoto, convirtiendo las herramientas confiables de amenazas potenciales en activos controlados y manejables.
Autor: Matin Tadvi
Coautor : Umar Khan
