Los hackers se aprovechan de la herramienta de administración «Faronics Deploy» para instalar ScreenConnect

Ci­ber­de­lin­cuen­tes están em­plean­do la pla­ta­for­ma le­gí­ti­ma de ad­mi­nis­tra­ción de equi­pos Fa­ro­nics De­ploy con fines ma­li­cio­sos, me­dian­te cam­pa­ñas de phishing que uti­li­zan gan­chos te­má­ti­cos para en­viar co­rreos elec­tró­ni­cos con apa­rien­cias de fac­tu­ras, do­cu­men­tos fis­ca­les u otros ar­chi­vos co­mer­cia­les. Los en­la­ces in­clui­dos en estos men­sa­jes di­ri­gen a los usua­rios hacia un sitio web que ana­li­za al ob­je­ti­vo y lo guía en un pro­ce­so de des­car­ga ma­li­cio­so, o bien ac­ti­va un se­ñue­lo si de­tec­ta un en­torno de aná­li­sis.

Du­ran­te este pro­ce­so, la víc­ti­ma es in­du­ci­da a des­car­gar y eje­cu­tar un ins­ta­la­dor le­gí­ti­mo y fir­ma­do de Fa­ro­nics De­ploy que se hace pasar por un do­cu­men­to de Adobe, una apli­ca­ción lec­to­ra o una ac­tua­li­za­ción de com­ple­men­tos. Al eje­cu­tar­lo, el equi­po queda ins­cri­to en una im­ple­men­ta­ción de Fa­ro­nics con­tro­la­da por los ata­can­tes, quie­nes apro­ve­chan las fun­cio­nes de la pla­ta­for­ma para eje­cu­tar co­man­dos de Po­werShell sin re­que­rir más in­ter­ac­ción del usua­rio.

Me­dian­te estos scripts se des­car­gan he­rra­mien­tas adi­cio­na­les desde ubi­ca­cio­nes ex­ter­nas como GitHub o la in­fra­es­truc­tu­ra de los ata­can­tes, cul­mi­nan­do con la ins­ta­la­ción de la he­rra­mien­ta de ac­ce­so re­mo­to Screen­Con­nect para ase­gu­rar el con­trol y con­tar con una vía al­ter­na­ti­va. Tras re­ci­bir el aviso de los in­ves­ti­ga­do­res, Fa­ro­nics im­ple­men­tó me­di­das con­tra el abuso, no­ti­fi­có a las or­ga­ni­za­cio­nes afec­ta­das y logró una re­duc­ción no­ta­ble en esta ac­ti­vi­dad ma­li­cio­sa.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las mé­tri­cas fi­na­les o es­ta­dís­ti­cas adi­cio­na­les de la cam­pa­ña.