Attackers Abuse MSP360 to Deploy ScreenConnect in Dual-RMM Phishing Attacks
The Hacker News · 30 sept, 18:32
Qué hacer: Bloquea ejecutables de MSP360 sospechosos desde dominios de correo electrónico, implementa controles de ejecución en equipos endpoint, monitorea la actividad de conexiones UDP en puerto 48678, y revisa registros de UAC en busca de elevaciones sospechosas.
Microsoft alertó sobre campañas de phishing que distribuyen el instalador del software MSP360 RMM bajo nombres engañosos (invitaciones, actualizaciones, PDFs) para establecer acceso remoto legítimo en dispositivos comprometidos. Los atacantes luego utilizan MSP360 como punto de apoyo para descargar e instalar ConnectWise ScreenConnect, creando canales redundantes de acceso remoto que les permiten ejecutar herramientas adicionales y realizar operaciones de recolección de información y acceso a credenciales.
La campaña detectada en julio de 2026 distribuye el instalador digitalmente firmado de MSP360 RMM v2.5.0.67 a través de correos de phishing con nombres engañosos como "VIP_ECARD_INVITATION_rmm_v2.5.0.67" y "ZoomSetup_Installation_v2.5.0.67". Los paquetes se encuentran en infraestructura controlada por atacantes y servicios en la nube legítimos (Amazon S3, Cloudflare R2, Dropbox, GitLab, Supabase).
Al ejecutarse, el instalador obtiene elevación de privilegios mediante UAC, establece acceso persistente mediante servicios de Windows (RMM.Agent.exe y RMM.Agent.Launcher.exe) y entradas de registro, modifica la configuración del Firewall para permitir tráfico UDP en puerto 48678, y ejecuta PowerShell para instalar silenciosamente ScreenConnect. Los atacantes también han utilizado variaciones con Faronics Deploy Agent como punto de entrada inicial. Esta técnica permite camuflarse en operaciones normales de administración remota mientras se mantiene acceso persistente y se reducen oportunidades de detección.
Puntos clave
- MSP360 RMM v2.5.0.67 distribuido en campañas de phishing con nombres engañosos
- Instaladores descargados desde Amazon S3, Cloudflare R2, Dropbox, GitLab y Supabase
- Acceso dual mediante MSP360 y ScreenConnect para redundancia y evasión
- Modificación del Firewall en puerto 48678 para tráfico UDP persistente
- Sin atribución a grupo de amenaza conocido; detectado en julio de 2026
Figuras de la fuente
