Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración editorial del instalador RMM y dos canales de acceso remoto.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según la cobertura de The Hacker News de la investigación de Microsoft, los correos de phishing presentan el instalador legítimo de MSP360 RMM como invitaciones, documentos PDF o avisos de actualización.

Microsoft detectó la cadena en julio de 2026 y describió instaladores de MSP360 RMM v2.5.0.67 firmados digitalmente con nombres engañosos.

Una vez ejecutado MSP360, los operadores descargan e instalan ConnectWise ScreenConnect para disponer de otro canal remoto.

El instalador activa la elevación UAC, registra los servicios RMM.Agent.exe y RMM.Agent.Launcher.exe, añade persistencia de inicio de sesión y permite tráfico UDP entrante para RMM.Agent.exe en el puerto 48678.

Microsoft también observó ataques de julio que empleaban Faronics Deploy Agent en lugar de MSP360 y después instalaban ScreenConnect.

Análisis de Defensops

La secuencia aprovecha la confianza operativa que suelen recibir las herramientas de administración remota. Una firma digital válida confirma la procedencia del instalador, pero por sí sola no prueba que su despliegue haya sido autorizado. La combinación de dos productos permite que la actividad posterior se confunda con soporte técnico habitual si el inventario solo registra aplicaciones, sin cotejar quién solicitó la instalación y desde dónde se administró cada equipo.

El riesgo inmediato depende de que una persona ejecute el señuelo y de los permisos obtenidos en ese equipo. La publicación describe persistencia y un segundo canal de acceso después de esa ejecución; no demuestra que todas las instalaciones legítimas de MSP360 o ScreenConnect estén comprometidas. La observación de una variante con Faronics aconseja buscar el patrón de instalación y uso, además de los nombres de un único producto.

La cobertura no aporta el número de equipos afectados ni identifica al operador. Tampoco especifica los destinos de administración utilizados en cada instalación. Esas lagunas limitan la atribución y obligan a contrastar los hallazgos locales con cambios aprobados y registros de correo, procesos, servicios y conexiones antes de clasificar una instalación como intrusión.

Prioridades de revisión

Revisar primero los equipos donde aparezcan instalaciones recientes de MSP360, ScreenConnect o Faronics Deploy Agent; cotejar fecha, usuario, solicitud de soporte y origen del instalador con los cambios aprobados.

En los equipos sin instalación autorizada, preservar el correo recibido, el archivo ejecutado y los registros de creación de procesos antes de retirar acceso remoto; comprobar si ScreenConnect apareció después de MSP360 o Faronics.

Comprobar en esos equipos la creación de RMM.Agent.exe y RMM.Agent.Launcher.exe, entradas de inicio automático y reglas de firewall para UDP 48678; documentar las discrepancias con la configuración prevista.

Examinar las sesiones y tareas de administración asociadas a los clientes RMM sospechosos, incluidas transferencias de archivos y ejecución de herramientas, para delimitar qué equipos requieren investigación adicional.

Revisar si el procedimiento de despliegue RMM exige autorización verificable y alertar sobre nuevas instalaciones o un segundo producto remoto fuera de ese procedimiento.

Qué no se ha confirmado

La fuente no cuantifica los equipos afectados ni indica si todas las variantes observadas corresponden al mismo operador.

No se atribuye la campaña a un grupo conocido ni se detallan los destinos de control de cada instalación.

La información disponible no precisa qué credenciales concretas se obtuvieron tras el acceso inicial.

Fuente

The Hacker News. Fecha indicada: 2026-09-30.