Los atacantes abusan de MSP360 para desplegar ScreenConnect en ataques de phishing con RMM dual.

Microsoft ha alertado sobre campañas de phishing que distribuyen un instalador del software de monitorización y gestión remota (RMM) MSP360 bajo la apariencia de invitaciones a reuniones, archivos PDF engañosos, avisos de actualización de software y otros contenidos de ingeniería social.

"Una vez ejecutado, el instalador legítimo de MSP360, distribuido con un nombre de archivo engañoso, establece acceso de gestión remota en los dispositivos afectados y permite a los ciberdelincuentes obtener acceso inicial mediante software administrativo de confianza", declaró el equipo de investigación de seguridad de Microsoft.

Este acceso inicial se utiliza para descargar e instalar un cliente ConnectWise ScreenConnect, lo que proporciona a los ciberdelincuentes un canal de acceso remoto redundante a los equipos comprometidos. Posteriormente, se abusa de este acceso para distribuir herramientas adicionales y llevar a cabo operaciones de recopilación de información y acceso a credenciales. Esta actividad no se ha atribuido a ningún ciberdelincuente o grupo conocido.

La cadena de intrusión en varias etapas, detectada por el fabricante de Windows en julio de 2026, comienza con correos electrónicos de phishing que distribuyen un instalador MSP360 RMM v2.5.0.67 firmado digitalmente bajo nombres engañosos como los siguientes:

VIP_ECARD_INVITATION_rmm_v2.5.0.67_oid[redacted].exe ZoomSetup_Installation_v2.5.0.67_oid[redacted].exe PDF Reader & Editor the Adobe Acrobatte_rmm_v2.5.0.67_oid[redacted].exe RSVP_INVITATION_E_CARD_rmm_v2.5.0.67_oid[redacted].exe SSA.GOV_STATEMENT_rmm_v2.5.0.67_oid[redacted].exe

Los paquetes de instalación se alojan en infraestructura controlada por el atacante y en servicios legítimos en la nube, incluido Amazon. S3, Cloudflare R2, Dropbox, GitLab y Supabase.

Una vez iniciado, el instalador descarga varias DLL y se reinicia mediante el flujo de trabajo de elevación de privilegios del Control de cuentas de usuario (UAC) de Windows para ejecutarse en un contexto privilegiado, establecer acceso persistente mediante la implementación de MSP360 y aprovechar la herramienta RMM para ejecutar PowerShell e instalar ScreenConnect de forma encubierta.