¿Qué es la seguridad de Remote Monitoring and Management (RMM)?

Aprenda cómo los actores de amenazas explotan las herramientas RMM para ataques de ransomware y descubra estrategias de detección y mejores prácticas de seguridad para proteger su entorno.

¿Qué es RMM?

El software de Monitoreo y Gestión Remota (RMM) permite a los equipos de TI y proveedores de servicios gestionados supervisar, mantener y administrar de forma remota endpoints distribuidos. Las capacidades principales incluyen acceso remoto, monitoreo del sistema, aplicación autónoma de parches y ejecución privilegiada de scripts. Según la Guía de Acceso Remoto de CISA, las herramientas RMM funcionan como software que permite a "proveedores de servicios gestionados (MSP), proveedores de software como servicio (SaaS), mesas de ayuda de TI y otros administradores de red realizar varias funciones de forma remota".

Considere este escenario: su equipo de TI implementa ConnectWise ScreenConnect a las 9 AM para mantenimiento legítimo del sistema. A las 9:15 AM, los operadores de BlackSuit ransomware utilizan esa misma herramienta para cifrar toda su red. Este escenario se repitió durante 2024-2025, con el FBI y CISA documentando más de 900 víctimas solo de la campaña de ransomware Play hasta mayo de 2025.

Relación de RMM con la ciberseguridad

Las herramientas RMM evolucionaron de plataformas esenciales de administración de TI a superficies de ataque explotadas por actores de amenazas que van desde ciberdelincuentes hasta APTs de estados-nación. Esta transformación ocurrió porque el software RMM proporciona exactamente lo que los atacantes necesitan: acceso privilegiado al sistema, infraestructura de comando y control, y tráfico de red legítimo que evade los controles de seguridad tradicionales.

Según CISA Advisory AA23-061A sobre BlackSuit Ransomware, "el FBI observó a actores de BlackSuit utilizando software legítimo de monitoreo y gestión remota (RMM) para mantener persistencia en redes de víctimas". MITRE ATT&CK T1219.002 identifica el desafío fundamental de seguridad: las herramientas RMM "se utilizan comúnmente como software legítimo de soporte técnico y pueden estar permitidas por el control de aplicaciones dentro de un entorno objetivo".

Para entender por qué las plataformas RMM generan una exposición de seguridad tan significativa, las organizaciones deben examinar primero los componentes arquitectónicos que hacen que estas herramientas sean tanto poderosas como peligrosas.

Componentes principales de RMM

Las plataformas RMM consisten en componentes arquitectónicos interconectados que permiten la administración remota a escala. Comprender estos componentes revela por qué los actores de amenazas apuntan a la infraestructura RMM y cómo la explotación se propaga en los entornos.

• Consola central de gestión que sirve como plano de control administrativo donde los equipos de TI configuran políticas, implementan agentes y monitorean el estado de los endpoints. Cuando los actores de amenazas comprometen esta consola, obtienen control administrativo sobre todos los endpoints gestionados simultáneamente.
• Software agente instalado en los endpoints gestionados ejecuta comandos, recopila datos del sistema y mantiene conexiones persistentes con la infraestructura de gestión. Estos agentes se ejecutan con privilegios de nivel SYSTEM o root para realizar tareas administrativas. Según la Guía de Acceso Remoto de CISA, este contexto de ejecución privilegiado permite a los actores de amenazas desplegar ransomware, recolectar credenciales y moverse lateralmente sin activar alertas de escalamiento de privilegios.
• Infraestructura de comunicación establece conexiones salientes desde los endpoints gestionados hacia los servidores RMM para la recepción de comandos y transmisión de datos. Los actores de amenazas explotan estos canales de comunicación preaprobados para comando y control, mezclando tráfico malicioso con sesiones de gestión autorizadas.
• Motor de scripting autónomo permite a los equipos de TI desplegar parches, configurar sistemas y ejecutar tareas de remediación en miles de endpoints mediante PowerShell, Bash o lenguajes de scripting propietarios. Según CISA Advisory AA25-071A sobre Medusa Ransomware, los actores de amenazas despliegan scripts PowerShell ofuscados en base64 a través de plataformas RMM para recolectar credenciales de respaldo de Veeam y enumerar la infraestructura de red antes de desplegar ransomware.
• Interfaz de acceso remoto proporciona control interactivo de escritorio, capacidades de transferencia de archivos y acceso remoto a la consola para resolución de problemas y administración. Grupos como Scattered Spider implementan múltiples herramientas RMM incluyendo TeamViewer y AnyDesk, mientras que Storm-1811 abusa de ScreenConnect y NetSupport Manager para establecer acceso interactivo persistente.

A pesar de estas preocupaciones de seguridad, las herramientas RMM siguen siendo esenciales para las operaciones modernas de TI. Comprender su valor legítimo explica por qué las organizaciones continúan implementándolas—y por qué los actores de amenazas las consideran tan atractivas.

Beneficios clave de RMM

Las plataformas RMM ofrecen eficiencia operativa medible para los equipos de TI que gestionan infraestructura distribuida a escala. Estos beneficios legítimos explican por qué las organizaciones implementan herramientas RMM y por qué los actores de amenazas las explotan sistemáticamente.

• Gestión centralizada a escala permite que un solo administrador gestione miles de endpoints en ubicaciones geográficas a través de consolas unificadas. Sin embargo, según la documentación de CISA y el FBI, esta centralización crea riesgos de seguridad significativos cuando las plataformas RMM son comprometidas, afectando a organizaciones en campañas documentadas de ransomware.
• Monitoreo proactivo del sistema permite el registro y monitoreo continuo de la actividad RMM para detectar accesos no autorizados y patrones sospechosos de movimiento lateral. Las alertas autónomas sobre comportamientos anómalos de RMM reducen el tiempo de permanencia y permiten una respuesta a incidentes más rápida.
• Gestión autónoma de parches implementa actualizaciones de seguridad, parches de aplicaciones y cambios de configuración sin intervención manual. Las plataformas RMM gestionan la distribución, instalación y verificación en los endpoints gestionados, cerrando ventanas de vulnerabilidad más rápido que los procesos manuales.
• Reducción de requerimientos de soporte in situ elimina la necesidad de acceso físico para la mayoría de las tareas de resolución de problemas y mantenimiento. Los equipos de soporte pueden resolver tickets de mesa de ayuda mediante sesiones remotas en lugar de enviar técnicos, disminuyendo los costos de soporte y acelerando los tiempos de resolución.

Las mismas capacidades que hacen que RMM sea indispensable para los equipos de TI—acceso privilegiado, ejecución remota de comandos y conectividad persistente—hacen que estas herramientas sean igualmente valiosas para los atacantes que buscan controlar la red.

Cómo los actores de amenazas explotan las herramientas RMM

Los actores de amenazas explotan las herramientas RMM a través de cuatro vectores de ataque principales, cada uno aprovechando la confianza inherente que las organizaciones depositan en la infraestructura de gestión remota.

• Robo de credenciales y compromiso de cuentas representa el método de explotación más común. Según CISA Advisory AA23-025A, los actores de amenazas apuntan a "credenciales legítimas comprometidas" mediante campañas de phishing, ataques de relleno de credenciales usando listas de contraseñas de filtraciones previas y compra de credenciales robadas a brokers de acceso inicial en mercados de la dark web. Una vez que los atacantes obtienen credenciales RMM válidas, heredan privilegios administrativos completos en todos los endpoints gestionados sin activar alertas de seguridad. El robo de credenciales permite a los atacantes mezclarse perfectamente con la actividad administrativa legítima, dificultando enormemente la detección. Los actores de amenazas también apuntan a cuentas de servicio y claves API que pueden tener políticas de contraseñas más débiles o carecer de MFA.
• Explotación de vulnerabilidades apunta a plataformas RMM sin parches con fallas de seguridad conocidas. CVE-2024-1709 de ConnectWise ScreenConnect alcanzó una severidad CVSS de 10.0 con omisión de autenticación que permite ejecución remota de código sin autenticación. A los pocos días de su divulgación, los actores de amenazas armaron esta vulnerabilidad para desplegar ransomware masivo en miles de organizaciones. Según CISA Advisory AA25-163A, la explotación activa de SimpleHelp RMM provocó "interrupciones de servicio e incidentes de doble extorsión" que afectaron a un proveedor de software de facturación de servicios públicos y a sus clientes aguas abajo.
• Despliegue de RMM no autorizado implica que los actores de amenazas instalan herramientas de acceso remoto no autorizadas en sistemas comprometidos para establecer acceso persistente independiente de los controles de seguridad existentes. Los atacantes despliegan software RMM legítimo como AnyDesk o TeamViewer disfrazado de documentos empresariales a través de correos de phishing. Según CISA Advisory AA23-025A, los atacantes utilizan campañas de phishing temáticas de mesa de ayuda para convencer a los usuarios de otorgar acceso remoto o instalar ejecutables portátiles de RMM que no requieren privilegios de instalación. Estas versiones portátiles evaden los controles de listas blancas de aplicaciones y proporcionan acceso remoto inmediato sin credenciales administrativas.

• Compromiso de la cadena de suministro apunta a MSPs y proveedores de servicios de TI que gestionan infraestructura RMM para múltiples clientes. Un solo compromiso de MSP se propaga a todos los clientes aguas abajo a través de canales de gestión confiables. El ataque a Kaseya VSA en 2021 demostró este efecto de amplificación cuando REvil ransomware se propagó a través de relaciones MSP para cifrar más de 1,500 organizaciones aguas abajo en cuestión de horas. Los atacantes apuntan específicamente a MSPs porque un proveedor comprometido otorga acceso a docenas o cientos de entornos de clientes.

Dado estos métodos de explotación, los equipos de seguridad necesitan indicadores confiables para distinguir la actividad maliciosa de RMM de la administración legítima.

Cómo detectar ataques basados en RMM

Detectar ataques basados en RMM requiere monitorear anomalías de comportamiento que distingan la actividad maliciosa de la administración legítima. La detección tradicional basada en firmas falla porque las herramientas RMM son software legítimo que realiza funciones esperadas.

• Instalación no autorizada de herramientas RMM: Monitoree la aparición de nuevo software de acceso remoto en endpoints sin aprobación de gestión de cambios. Vigile herramientas no autorizadas por la política de TI, incluyendo TeamViewer, AnyDesk, ScreenConnect, Atera, Splashtop, LogMeIn, RemotePC y NetSupport Manager. Según la documentación de MITRE ATT&CK, los actores de amenazas suelen desplegar múltiples herramientas RMM simultáneamente para establecer canales de acceso redundantes.
• Horarios y duración anómalos de sesión: Marque patrones de acceso fuera de horario para su investigación. Las sesiones RMM iniciadas a las 2 AM desde ubicaciones geográficas inconsistentes con las de los administradores requieren revisión inmediata. Monitoree sesiones con duración inusual en comparación con la actividad administrativa base, especialmente sesiones extendidas en sistemas que rara vez requieren administración remota.
• Ejecución sospechosa de comandos: Alerta sobre comandos PowerShell codificados en base64, herramientas de recolección de credenciales dirigidas a la memoria LSASS o bases de datos de respaldo de Veeam, y comandos de enumeración de red como nltest, net group, dsquery o systeminfo ejecutados a través de canales RMM. Según CISA Advisory AA25-071A, los actores de amenazas utilizan cmd.exe y PowerShell a través de plataformas RMM para enumeración de archivos y recolección de credenciales antes de desplegar ransomware.
• Indicadores de movimiento lateral: Rastree qué endpoints suelen ser gestionados por administradores y alerte cuando las sesiones RMM apunten a controladores de dominio, servidores de respaldo, sistemas financieros o estaciones de trabajo ejecutivas sin solicitudes de cambio documentadas. El acceso repentino a activos de alto valor desde conexiones RMM previamente inactivas indica posible compromiso.
• Múltiples instalaciones concurrentes de RMM: Los atacantes instalan herramientas RMM de respaldo para mantener persistencia si los equipos de seguridad deshabilitan su acceso principal. Alerta cuando los endpoints muestran más de un agente RMM activo o cuando aparecen nuevas herramientas RMM poco después de incidentes de seguridad. Mantenga una lista blanca de herramientas RMM aprobadas y trate cualquier desviación como posible indicador de compromiso.
• Actividad de transferencia de archivos: Monitoree transferencias de archivos grandes a destinos externos, especialmente archivos comprimidos o exportaciones de bases de datos transferidas fuera de horario. Los actores de amenazas suelen usar funciones de transferencia de archivos de RMM para exfiltrar datos sensibles antes de desplegar ransomware.

Centralice los registros de RMM en plataformas SIEM para correlacionar estos indicadores en los entornos y permitir una respuesta rápida ante amenazas emergentes.

Aun con capacidades sólidas de detección, las organizaciones enfrentan desafíos de seguridad fundamentales inherentes a la arquitectura RMM que complican los esfuerzos defensivos.

Desafíos y limitaciones de seguridad de RMM

Las plataformas RMM presentan desafíos de seguridad fundamentales que los enfoques tradicionales no pueden resolver. Estos desafíos provienen de decisiones de diseño arquitectónico que priorizan la funcionalidad administrativa sobre los controles de seguridad.

• Omisión de control de aplicaciones por diseño ocurre porque las herramientas RMM aparecen como software legítimo y preaprobado que realiza funciones administrativas esperadas. Según MITRE ATT&CK T1219.002, las herramientas RMM "se utilizan comúnmente como software legítimo de soporte técnico y pueden estar permitidas por el control de aplicaciones dentro de un entorno objetivo". La protección de endpoints ve software autorizado y permite su ejecución.
• Requisitos de acceso privilegiado exigen que los agentes RMM se ejecuten con privilegios SYSTEM o root para realizar tareas administrativas. Cuando los actores de amenazas comprometen sesiones RMM, heredan estos privilegios elevados mientras mantienen la apariencia de actividad administrativa legítima.
• Patrones de tráfico legítimos dificultan la identificación basada en red porque la comunicación RMM parece idéntica a las sesiones de gestión autorizadas. Según la Guía de Acceso Remoto de CISA, los actores de amenazas utilizan infraestructura RMM legítima para "gestionar múltiples intrusiones a la vez", controlando varias redes comprometidas simultáneamente a través de canales aprobados.
• Ventanas de exposición a vulnerabilidades crean requisitos urgentes de aplicación de parches cuando las plataformas RMM sufren vulnerabilidades de omisión de autenticación o ejecución remota de código. Estas vulnerabilidades son rápidamente explotadas por actores de amenazas que escanean internet en busca de infraestructura RMM expuesta.
• Proliferación de herramientas de múltiples proveedores genera brechas de visibilidad cuando las organizaciones implementan múltiples soluciones RMM en diferentes departamentos, subsidiarias adquiridas o requisitos específicos de proyectos. Los departamentos de TI aprueban ScreenConnect mientras los equipos de desarrollo instalan TeamViewer y las mesas de ayuda implementan Splashtop sin supervisión centralizada.

Estos desafíos arquitectónicos se convierten en vulnerabilidades críticas cuando se combinan con errores operativos comunes.

Errores comunes de seguridad en RMM

Las organizaciones cometen con frecuencia errores prevenibles que exponen su infraestructura RMM a la explotación:

• Shadow IT y despliegues no autorizados de RMM ocurren cuando las organizaciones no inventarían todas las herramientas de acceso remoto desplegadas en su entorno. Según CISA Advisory AA23-025A, los actores de amenazas explotan instalaciones de shadow IT que proliferan sin conocimiento del equipo de seguridad.
• Credenciales débiles o predeterminadas en plataformas RMM proporcionan acceso administrativo directo mediante abuso de credenciales. CISA Advisory AA23-025A identifica el uso de credenciales débiles o comprometidas en filtraciones previas como una vulnerabilidad crítica.
• Segmentación de red inadecuada permite el movimiento lateral en todo el entorno tras el compromiso inicial de RMM. Los actores de amenazas utilizan RMM para moverse lateralmente desde el acceso inicial hasta el compromiso total de la red.
• Registro y monitoreo insuficientes permite a los actores de amenazas realizar operaciones maliciosas mientras aparentan sesiones administrativas legítimas. No monitorear los registros de sesiones RMM permite que la exfiltración de datos y el despliegue de malware pasen desapercibidos.
• Software RMM sin parches proporciona vías de explotación conocidas con código de explotación disponible públicamente. ConnectWise ScreenConnect CVE-2024-1709 afecta a las versiones 23.9.7 y anteriores con una puntuación CVSS de 10.0.

Abordar estos errores requiere la implementación sistemática de controles de seguridad que equilibren las necesidades operativas con la reducción de riesgos.

Mejores prácticas de seguridad para RMM

La implementación de mejores prácticas de seguridad basadas en la orientación de CISA, NSA y CIS Controls reduce el riesgo de explotación de RMM mientras se mantiene la funcionalidad operativa.

• Inventario y auditoría obligatoria de software RMM: Establezca visibilidad sobre todas las herramientas de acceso remoto desplegadas en los entornos. Audite el software RMM trimestralmente utilizando herramientas de identificación de endpoints y análisis de tráfico de red. Bloquee la ejecución de software de acceso remoto no autorizado mediante políticas de control de aplicaciones alineadas con CIS Control 2.
• Autenticación robusta y aplicación de MFA: Requiera autenticación multifactor para todo acceso administrativo a RMM. Implemente métodos de MFA resistentes al phishing que eviten la omisión mediante robo de tokens de sesión.
• Gestión continua de vulnerabilidades con aplicación de parches priorizada: Monitoree el catálogo de vulnerabilidades explotadas conocidas de CISA para CVEs relacionados con RMM. Establezca procedimientos de aplicación de parches de emergencia para infraestructura RMM expuesta a internet, separados de los ciclos de parches estándar.
• Segmentación de red y restricciones de acceso: Implemente la infraestructura RMM en segmentos de red aislados con reglas estrictas de firewall. Restrinja el acceso RMM a grupos específicos de endpoints según la necesidad administrativa.
• Resistencia al phishing y capacitación de usuarios: Capacite a los usuarios para reconocer campañas de phishing relacionadas con RMM. Implemente controles de seguridad de correo electrónico que bloqueen archivos ejecutables disfrazados de documentos fiscales o facturas.
• Planificación de respuesta a incidentes ante compromiso de RMM: Documente procedimientos para la revocación de acceso RMM de emergencia. Mantenga métodos de acceso administrativo de respaldo que no dependan de plataformas RMM potencialmente comprometidas.
• Implementación de IA conductual para reconocimiento de patrones: Implemente plataformas de protección de endpoints con capacidades de IA conductual que monitoreen comportamientos sospechosos de herramientas de acceso remoto. Las plataformas de seguridad deben alertar sobre la implementación simultánea de múltiples herramientas RMM, acciones administrativas inesperadas fuera de horario o sesiones RMM originadas desde ubicaciones geográficas inusuales.

La implementación de detección basada en IA conductual requiere plataformas de seguridad diseñadas para identificar actividad anómala de RMM mientras permiten operaciones administrativas legítimas.

Detenga ataques basados en RMM con SentinelOne

SentinelOne Singularity Platform emplea IA conductual para detectar y detener de forma autónoma ataques basados en RMM mediante el monitoreo continuo del comportamiento de los endpoints. La plataforma ofrece un alto rendimiento en evaluaciones independientes de MITRE ATT&CK con alta visibilidad de amenazas y cero demoras. SentinelOne es reconocido como Líder en el Cuadrante Mágico de Gartner para Plataformas de Protección de Endpoints.

Cuando los actores de amenazas despliegan clientes RMM disfrazados de documentos empresariales, Singularity Endpoint utiliza IA conductual para detectar cadenas de ejecución que incluyen inyección de procesos, escalamiento de privilegios y conexiones de red a infraestructura RMM no autorizada. Los equipos de seguridad reciben alertas correlacionadas con contexto forense completo a través de la tecnología Storyline, que reconstruye automáticamente toda la narrativa del ataque y la mapea a TTPs de MITRE ATT&CK.

Purple AI acelera la investigación de amenazas RMM mediante consultas en lenguaje natural y análisis generados por IA. Cuando los equipos investigan actividad sospechosa de ScreenConnect a las 2 AM, Purple AI proporciona información conversacional sobre qué sistemas fueron accedidos y por qué ciertos comportamientos pueden indicar intención maliciosa. Los primeros usuarios reportan hasta un 80% de aceleración en la búsqueda de amenazas con la interfaz de lenguaje natural de Purple AI.

Cuando los actores de amenazas ejecutan cargas útiles de ransomware a través de sesiones RMM comprometidas, la IA conductual de Singularity Platform identifica patrones de actividad sospechosa y activa respuestas autónomas como la terminación de procesos y el aislamiento de red. La reversión con un solo clic restaura los sistemas afectados a estados previos al ataque, minimizando daños y eliminando pagos de rescate. Según los resultados de la evaluación MITRE de SentinelOne, la plataforma generó un 88% menos de alertas que soluciones competidoras, reduciendo la fatiga de alertas y manteniendo visibilidad completa de amenazas.

Solicite una demostración de SentinelOne para ver cómo la IA conductual detiene ataques basados en RMM de forma autónoma.

Puntos clave

Las herramientas RMM evolucionaron de plataformas esenciales de TI a superficies de ataque explotadas por familias de ransomware como BlackSuit, Medusa, LockBit, Play, RansomHub, Akira, Phobos y Rhysida. El FBI y CISA documentaron más de 900 organizaciones afectadas solo por la campaña de ransomware Play hasta mayo de 2025. Los actores de amenazas explotan herramientas RMM mediante robo de credenciales, explotación de vulnerabilidades, despliegue de herramientas no autorizadas y compromiso de la cadena de suministro dirigido a MSPs.

Las recomendaciones gubernamentales de CISA, FBI y NSA identifican la explotación de RMM como una táctica madura y ampliamente adoptada que requiere controles defensivos obligatorios. Las organizaciones deben implementar auditorías de software, aplicación de MFA, segmentación de red y registro y monitoreo exhaustivos para reducir los riesgos de seguridad de RMM. Las estrategias de detección deben centrarse en anomalías de comportamiento como accesos fuera de horario, instalación no autorizada de herramientas y ejecución sospechosa de comandos mediante motores de scripting RMM.

Los enfoques de IA conductual detectan patrones de uso anómalos mediante el monitoreo continuo del comportamiento de los endpoints que las herramientas basadas en firmas no identifican. SentinelOne Singularity Platform ofrece un alto rendimiento en evaluaciones MITRE ATT&CK con un 88% menos de alertas que soluciones competidoras, proporcionando protección autónoma contra amenazas basadas en RMM.

Preguntas frecuentes

¿Qué es RMM?

La supervisión y gestión remota (RMM) es un software que permite a los equipos de TI y a los proveedores de servicios gestionados supervisar, mantener y administrar de forma remota endpoints distribuidos desde una consola centralizada. Las plataformas RMM ofrecen capacidades que incluyen acceso remoto al escritorio, supervisión del estado del sistema, implementación autónoma de parches y ejecución de scripts privilegiados en miles de endpoints. 

Si bien las herramientas RMM ofrecen una eficiencia operativa esencial para la administración de TI, los actores de amenazas explotan cada vez más estas mismas capacidades para el despliegue de ransomware, la obtención de credenciales y el acceso persistente a la red.

¿Cómo identifico software RMM no autorizado en mi entorno?

Realice auditorías de inventario de software utilizando herramientas de identificación de endpoints, análisis de tráfico de red y plataformas de gestión de activos para encontrar todo el software de acceso remoto. 

Busque herramientas RMM comunes como TeamViewer, AnyDesk, ScreenConnect, Atera, Splashtop, LogMeIn y NetSupport Manager. Implemente políticas de control de aplicaciones que bloqueen la ejecución de software de acceso remoto no aprobado.

¿Por qué los ataques basados en RMM son difíciles de detener con herramientas de seguridad tradicionales?

Las plataformas RMM evaden los controles de seguridad tradicionales porque se presentan como software legítimo y preaprobado que realiza funciones administrativas esperadas. Según MITRE ATT&CK T1219.002, los controles de aplicaciones permiten la ejecución porque las herramientas RMM funcionan como "software legítimo de soporte técnico". 

Los enfoques de IA conductual detectan patrones maliciosos analizando las acciones realizadas a través de sesiones RMM en lugar de intentar clasificar el software RMM como malicioso.

¿Deben las organizaciones dejar de usar herramientas RMM debido a los riesgos de seguridad?

Las organizaciones no deben eliminar las herramientas RMM, pero deben implementar controles de seguridad exhaustivos en torno al despliegue, uso y monitoreo. Aplique estrategias de defensa en profundidad que incluyan MFA obligatorio, segmentación de red, registro exhaustivo, monitoreo de comportamiento y gestión continua de vulnerabilidades. 

Implemente plataformas de seguridad con IA de comportamiento que detecten patrones anómalos de uso de RMM mientras permiten operaciones administrativas legítimas.

¿Con qué rapidez debo aplicar parches a las vulnerabilidades RMM?

Aplique parches a la infraestructura RMM expuesta a internet dentro de las 24 horas posteriores a la divulgación de vulnerabilidades de omisión de autenticación o ejecución remota de código. 

ConnectWise ScreenConnect CVE-2024-1709 alcanzó una gravedad CVSS de 10.0 con exploits públicos disponibles en pocos días. Establezca procedimientos de parcheo de emergencia para plataformas RMM separados de los ciclos de parches estándar.

¿Qué técnicas de MITRE ATT&CK debo monitorear para ataques basados en RMM?

Enfoque los esfuerzos de identificación en MITRE ATT&CK T1219 (Remote Access Software) y la sub-técnica T1219.002 (Remote Desktop Software). 

Monitoree técnicas relacionadas como T1078 (Valid Accounts), T1543.003 (creación de servicios de Windows), T1071 (Application Layer Protocol), T1027.013 (ofuscación base64), T1046 (enumeración de red) y T1003 (recolección de credenciales).