Investigadores de seguridad han detectado campañas de phishing que abusan de MSP360 para desplegar ScreenConnect encadenando dos herramientas RMM legítimas y evadiendo defensas tradicionales. Para un profesional del sector esto significa que los pipelines de estudio render farms y servidores de assets compartidos quedan expuestos si no se segmentan credenciales y se monitorizan herramientas de acceso remoto.
Cómo funciona la cadena de ataque con herramientas RMM legítimas 🔗
El ataque comienza con un correo de phishing que dirige a la víctima a un instalador de MSP360, una utilidad de backup gestionado. Una vez dentro, el atacante usa ese acceso para desplegar ScreenConnect, otra herramienta de soporte remoto legítima. Al ser ambas aplicaciones firmadas y de uso común en entornos corporativos, los sistemas de detección basados en reputación no las bloquean. La clave está en el encadenamiento: la primera herramienta prepara el terreno y la segunda establece persistencia y control total. Sin segmentación de credenciales ni monitorización de procesos RMM, el intruso puede moverse lateralmente hacia servidores de assets y nodos de render.
Tu granja de render ahora también hace backups para el atacante 💾
Lo irónico es que mientras tu equipo discute si el render final lleva más samples o menos ruido, un tipo con ScreenConnect ya está copiando tus assets a su propio pipeline. Y no, no ha venido a optimizar tus tiempos de cocción. La próxima vez que veas una herramienta RMM instalada sin ticket previo, pregúntate si ese acceso remoto es para soporte técnico o para hacer un backup no solicitado de tu propiedad intelectual.