Las herramientas RMM (monitorización y gestión remotas) son plataformas con las que equipos de TI y proveedores de servicios gestionados supervisan y controlan muchos equipos a distancia, y que los atacantes abusan cada vez más.
Cómo funcionan las herramientas RMM
Un producto RMM instala un agente ligero en cada endpoint gestionado. El agente envía datos de estado e inventario a una consola central y permite a los administradores ejecutar scripts, desplegar parches, transferir archivos y abrir sesiones de escritorio remoto. Entre los productos conocidos están ConnectWise ScreenConnect, Kaseya VSA, N-able, NinjaOne, Atera, TeamViewer y AnyDesk. Como los agentes tienen privilegios elevados y son de confianza por diseño, una consola puede controlar miles de equipos de muchos clientes.
Por qué importan para la seguridad
Los atacantes aprovechan el software RMM de dos maneras:
- Abuso de herramientas legítimas: tras obtener acceso, los intrusos instalan AnyDesk, ScreenConnect o similares como puerta trasera discreta. Son programas firmados y muy usados, así que el antivirus rara vez los bloquea: una forma de living off the land. Un aviso conjunto de CISA, la NSA y el MS-ISAC de 2023 advirtió de delincuentes que engañan a usuarios para instalar RMM en estafas de falso soporte técnico. MITRE ATT&CK lo recoge como Remote Access Software (T1219).
- Ataques a plataformas RMM: comprometer la consola de un proveedor la convierte en un ataque a la cadena de suministro. En julio de 2021 la banda REvil explotó Kaseya VSA para distribuir ransomware a unas 1.500 empresas a través de sus proveedores. Vulnerabilidades críticas de ScreenConnect publicadas en 2024 se explotaron en pocos días.
Cómo proteger las herramientas RMM
- Estandarizar un único producto RMM aprobado y bloquear o alertar sobre los demás con control de aplicaciones.
- Proteger las consolas con MFA, limitarlas a redes de confianza y parchearlas sin demora.
- Vigilar la aparición de agentes de acceso remoto y sesiones inusuales, igual que con un RDP expuesto.
- Exigir por contrato a los proveedores mínimo privilegio y registros.
