Obtención de credenciales de superadministrador de ScreenConnect

Resumen de la campaña

Samantha Clarke y el equipo de investigación de amenazas de Mimecast han identificado una campaña de recopilación de credenciales (denominada MCTO3030) que se dirige específicamente a los administradores de la nube de ScreenConnect. Esta sofisticada operación ha mantenido unas tácticas, técnicas y procedimientos constantes desde 2022, lo que demuestra una seguridad operativa notable gracias a una distribución de bajo volumen que le ha permitido actuar sin ser detectada en gran medida.

La campaña utiliza correos electrónicos de spear phishing enviados a través de cuentas de Amazon Simple Email Service (SES) y está dirigida a profesionales de alto nivel del ámbito de las tecnologías de la información, entre los que se incluyen directores, responsables y personal de seguridad con privilegios elevados en entornos ScreenConnect. Los atacantes buscan específicamente credenciales de superadministrador, que les proporcionan un control total sobre la infraestructura de acceso remoto en toda la organización.

Una vez que el usuario hace clic en el botón «Revisar seguridad», se le redirige a uno de estos dos tipos de páginas de phishing:

Ejemplo número 1

Ejemplo número 2

Lo que hace que esta campaña resulte especialmente preocupante es su aparente relación con operaciones de ransomware. Una investigación de Sophos indica que los afiliados del ransomware Qilin están llevando a cabo ataques similares contra ScreenConnect, lo que sugiere que estas actividades de recopilación de credenciales sirven como vectores de acceso inicial para el posterior despliegue del ransomware.

Las credenciales de superadministrador obtenidas permiten a los atacantes instalar clientes o instancias maliciosas de ScreenConnect en varios terminales simultáneamente, lo que facilita un rápido movimiento lateral y la distribución de ransomware.