El atacante de ransomware utiliza TeamViewer para obtener acceso inicial a las redes

TeamViewer es un software que las empresas han utilizado durante mucho tiempo para permitir soporte remoto, colaboración y acceso a dispositivos terminales. Al igual que otras tecnologías legítimas de acceso remoto, los atacantes la utilizan con relativa frecuencia para obtener acceso inicial a los sistemas de destino.

Dos incidentes de intento de entrega de ransomware observados recientemente por los investigadores de Huntress son el ejemplo más reciente.

Intentos fallidos de implementación de ransomware

Los ataques informados por Huntress se dirigieron a dos dispositivos diferentes pertenecientes a clientes de Huntress. Ambos incidentes involucraron intentos fallidos de instalar lo que parecía ser ransomware basado en un constructor filtrado. LockBit 3.0 ransomware.

Investigaciones posteriores revelaron que los atacantes inicialmente obtuvieron acceso a ambos puntos finales a través de TeamViewer. Los registros indicaron que los ataques se originaron desde un punto final con el mismo nombre de host, lo que sugiere que el mismo actor de amenazas estaba detrás de ambos incidentes. En uno de los ordenadores, el atacante pasó poco más de siete minutos después de acceder por primera vez a través de TeamViewer, mientras que en el otro, la sesión del atacante duró más de diez minutos.

El informe de Huntress no explica cómo el atacante pudo haber obtenido el control de las instancias de TeamViewer en ambos casos. Pero Harlan Carvey, analista senior de inteligencia de amenazas en Huntress, dice que algunos de los inicios de sesión de TeamViewer parecen provenir de sistemas heredados.

«Los registros no proporcionan ninguna indicación de los inicios de sesión durante varios meses o semanas antes de que el actor de la amenaza obtenga acceso», afirma. «En otros casos, hay varios inicios de sesión legítimos que coinciden con inicios de sesión anteriores (nombre de usuario, nombre de la estación de trabajo, etc.) poco antes de que el actor de la amenaza iniciara sesión».

Carvey dice que es posible que el actor de amenazas haya podido hacer esto Adquirir acceso de un corredor de acceso inicial (IAB), y que las credenciales y la información de conexión pueden haberse obtenido de otros puntos finales mediante el uso de ladrones de información, un registrador de pulsaciones de teclas o de otro modo.

Ciberincidentes anteriores de TeamViewer

Ha habido varios incidentes en el pasado en los que los atacantes utilizaron TeamViewer de manera similar. Uno de ellos fue una campaña en mayo pasado por parte de un actor de amenazas que quería instalarlo. Software de criptominería XMRig en los sistemas después del primer acceso a través de la herramienta. Otro se refería a un Campaña de exfiltración de datos que Huntress investigó en diciembre. Los registros de incidentes mostraron que el actor de la amenaza se afianzó por primera vez en el entorno de la víctima a través de TeamViewer. Kaspersky informó mucho antes en 2020 sobre los ataques que había observado entornos de sistemas de control industrial Esto incluyó el uso de tecnologías de acceso remoto como RMS y TeamViewer para el acceso inicial.

También ha habido incidentes en el pasado, aunque en menor número, en los que los atacantes utilizaron TeamViewer como vector de acceso en campañas de ransomware. Por ejemplo, en marzo de 2016, varias organizaciones informaron sobre la infección con un Cepa de ransomware llamada «Sorpresa» que los investigadores pudieron utilizar posteriormente TeamViewer.

El software de acceso remoto de TeamViewer se ha instalado en alrededor de 2.500 millones de dispositivos desde que se fundó la empresa del mismo nombre en 2005. El año pasado, la empresa describió su software como actualizado. se ejecuta en más de 400 millones de dispositivos, de los cuales 30 millones están conectados a TeamViewer en cualquier momento. El amplio alcance y la facilidad de uso del software lo han convertido, al igual que otras tecnologías de acceso remoto, en un objetivo atractivo para los atacantes.

Cómo utilizar TeamViewer de forma segura

El propio TeamViewer ha implementado mecanismos para reducir el riesgo de que los atacantes abusen de su software para ingresar a los sistemas. La empresa afirma que un atacante sólo puede acceder a una computadora a través de TeamViewer si tiene el ID de TeamViewer y la contraseña asociada.

«Sin conocer el ID y la contraseña, otros no pueden acceder a su computadora», dice. La empresa ha determinado y enumera las medidas que las organizaciones pueden tomar para protegerse del abuso.

Éstas incluyen:

La compañía también señaló que TeamViewer admite políticas de acceso condicional, lo que permite a los administradores hacer cumplir los derechos de acceso remoto.

En una declaración a Dark Reading, TeamViewer dijo que la mayoría de los casos de acceso no autorizado implican un debilitamiento de la configuración de seguridad predeterminada de TeamViewer.

«Esto a menudo incluye el uso de contraseñas fáciles de adivinar, lo que sólo es posible utilizando una versión desactualizada de nuestro producto», dice el comunicado. “Enfatizamos continuamente la importancia de seguir estrictas prácticas de seguridad como: «Como el uso de contraseñas complejas, autenticación de dos factores, listas de permisos y actualizaciones periódicas de las últimas versiones de software». Mejores prácticas para un acceso seguro y desatendido desde TeamViewer Support.