Los investigadores de seguridad están dando la voz de alarma sobre una táctica que hace que el sindicato de ransomware Akira sea especialmente difícil de detectar: el abuso de software legítimo de monitoreo y gestión remota (RMM). En lugar de depender únicamente de malware personalizado, los afiliados de Akira recurren cada vez más a herramientas ampliamente confiables como TeamViewer y AnyDesk para mantener un punto de apoyo dentro de las redes comprometidas mientras pasan desapercibidos ante los sistemas de detección y respuesta de endpoints (EDR).

Esto no es un concepto nuevo en el mundo del cibercrimen, pero el uso continuo y refinado que Akira hace de esta táctica subraya un problema más amplio: el software en el que las organizaciones confían para el soporte de TI legítimo puede convertirse fácilmente en una puerta trasera para los atacantes, y las herramientas de seguridad tradicionales a menudo no están diseñadas para distinguir la diferencia.

Por Qué las Herramientas Legítimas de Acceso Remoto Son Vectores de Ataque Ideales

Las herramientas RMM existen por una buena razón. Los departamentos de TI y los proveedores de servicios gestionados las utilizan a diario para solucionar problemas en equipos, implementar actualizaciones y brindar soporte a empleados remotos. Esa legitimidad es exactamente lo que las hace tan valiosas para los operadores de ransomware.

Cuando los afiliados de Akira instalan o secuestran herramientas como TeamViewer y AnyDesk en la red de una víctima, las conexiones resultantes a menudo parecen actividad administrativa normal en lugar de tráfico malicioso de comando y control. El software de seguridad que marca ejecutables desconocidos o balizas de red inusuales puede simplemente dejar pasar estas conexiones, ya que las herramientas en sí están firmadas digitalmente, ampliamente implementadas y rara vez bloqueadas por completo por las políticas corporativas.

Este enfoque a veces se denomina técnica de "vivir de la tierra", aunque en este caso los atacantes no solo utilizan herramientas ya presentes en un sistema. Están implementando activamente software de terceros confiable para mezclarse con las operaciones comerciales normales, lo que les brinda un canal persistente y de baja visibilidad de regreso a la red incluso después de que se descubre una intrusión inicial y se remedia parcialmente.

Persistencia, No Solo Acceso Inicial

Lo que hace que esta tendencia sea particularmente preocupante es el ángulo de la persistencia. Los grupos de ransomware no siempre pasan inmediatamente del compromiso inicial al cifrado. Los afiliados de Akira han mostrado un patrón de establecer múltiples puntos de apoyo, y las herramientas RMM les brindan una forma confiable de mantener el acceso a lo largo del tiempo, incluso si un punto de entrada se cierra.

Esto importa porque cambia el cálculo de respuesta a incidentes para las organizaciones. Simplemente eliminar una pieza de malware conocido no es suficiente si los atacantes aún tienen una herramienta de acceso remoto de apariencia legítima en un servidor o estación de trabajo, lista para ser reactivada. Los equipos de seguridad deben tratar las instalaciones inesperadas o no autorizadas de software de acceso remoto como una señal de alerta grave, no como una violación menor de políticas.

La sofisticación técnica del grupo para evadir la detección ha sido documentada anteriormente. En un caso cubierto en nuestro reportaje sobre el intento de evasión de EDR de un afiliado de Akira que provocó el colapso de su propio ataque, los investigadores de Huntress descubrieron que los propios esfuerzos de un atacante por desactivar la protección de endpoints resultaron contraproducentes, interrumpiendo inadvertidamente el mismo ataque que intentaban llevar a cabo. Ese incidente es un recordatorio de que, aunque los métodos de Akira son avanzados, no son infalibles, y los defensores que monitorean de cerca pueden detectar errores que los atacantes cometen en el camino.

Las Apuestas de Privacidad para Individuos y Empresas

Si bien el ransomware Akira se dirige principalmente a organizaciones en lugar de consumidores individuales, las implicaciones de privacidad posteriores son significativas. Cuando Akira cifra y exfiltra datos de una empresa con éxito, esos datos a menudo incluyen registros de clientes, información de empleados, detalles financieros y otros datos personales pertenecientes a personas que no tuvieron un papel directo en la violación.

Los grupos de ransomware como Akira combinan cada vez más el cifrado con el robo de datos, amenazando con filtrar archivos robados si no se paga un rescate. Eso significa que cualquier persona cuya información personal se encuentre en los sistemas de una organización comprometida, ya sea como cliente, paciente o empleado, puede terminar viendo expuestos sus datos privados independientemente de cuán sólidos sean sus propios hábitos de seguridad personal.

Qué Significa Esto Para Ti

Si trabajas en operaciones de TI o seguridad, este desarrollo es un llamado directo a auditar qué herramientas de acceso remoto están autorizadas en tu red y a monitorear instalaciones no autorizadas de software como TeamViewer o AnyDesk. La aparición inexplicable de herramientas de acceso remoto en los endpoints debería desencadenar el mismo nivel de escrutinio que el malware desconocido.

Para los usuarios cotidianos y consumidores, la conclusión es más indirecta pero igualmente importante. Dado que los ataques de ransomware Akira pueden exponer datos personales almacenados por las empresas con las que interactúas, vale la pena prestar atención a las notificaciones de violación de datos de las empresas con las que haces negocios y actuar rápidamente si tu información está involucrada.

Conclusiones Prácticas

Las organizaciones deben restringir qué herramientas de acceso remoto están permitidas en la red y alertar sobre cualquier otra. Monitorear la instalación de software RMM fuera de los flujos de trabajo de TI aprobados es crítico, ya que los atacantes dependen de que estas herramientas se mezclen con el tráfico normal. La autenticación multifactor en cuentas de acceso remoto, auditorías regulares del software instalado y una revisión minuciosa de conexiones salientes inusuales ayudan a reducir el riesgo de que el ransomware Akira o grupos similares puedan mantener acceso silenciosamente. Para los individuos, mantenerse alerta a las notificaciones de violación de datos y usar contraseñas únicas en todas las cuentas sigue siendo una de las formas más simples de limitar el daño cuando una empresa de la que dependes se convierte en objetivo.