%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.13%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ESpoofed Software Sites%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EWeaponize ScreenConnect in%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ELarge-Scale AsyncRAT Campaign%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Un ataque a gran escala está utilizando páginas falsas que imitan sitios de descarga legítimos para envenenar resultados de búsqueda y distribuir el troyano de acceso remoto AsyncRAT a través de la herramienta ScreenConnect. La campaña, detectada por Kaspersky, demuestra cómo los actores de amenazas explotan la confianza del usuario en software popular para desplegar malware persistente sin necesidad de exploits complejos.
El problema
Según reportó The Hacker News, investigadores de Kaspersky identificaron una campaña masiva, multidominio y multilingüe en la que actores de amenazas desconocidos están utilizando la herramienta legítima de acceso remoto ScreenConnect como vector de entrega para desplegar y ejecutar AsyncRAT. El engranaje del ataque comienza con archivos de instalación maliciosos alojados en sitios web falsificados (spoofed) que imitan páginas de descarga de programas populares como OBS Studio, DNS Jumper, DS4Windows y Bandicam.
Consecuencias
El impacto inmediato para cualquier víctima es la instalación silenciosa de AsyncRAT, un troyano de acceso remoto que permite al atacante tomar control casi total del equipo infectado: robo de credenciales, captura de pulsaciones de teclado, exfiltración de archivos y activación de cámara o micrófono. Al ser una campaña masiva y multilingüe, la superficie de exposición es global y no discrimina por sector; cualquier usuario que busque descargar software gratuito o herramientas de productividad corre el riesgo de caer en las páginas falsas.