Atención equipos de respuesta a incidentes: invitaciones que provocan extraños incidentes de malware

Una campaña de phishing dirigida a varias organizaciones provocó la instalación de RMM, pero poco más (por ahora). ¿Se trata de un actor malicioso que está probando nueva técnicas o de un ataque de «acceso como servicio» en marcha?

Threat Research STAC6405 Infostealer RMM Phishing

Los equipos de Detección y Respuesta Gestionadas (MDR) de Sophos informaron a finales del año pasado de una campaña de phishing que intentaba engañar a los usuarios para que instalaran LogMeIn Resolve (antes GoToResolve), una herramienta de supervisión y gestión remota (RMM), con el fin de obtener acceso remoto sin supervisión. Tras una investigación más reciente, hemos identificado algunos aspectos interesantes de esta campaña.

En dos casos que observamos, el autor de la amenaza fue un paso más allá tras obtener el acceso inicial, utilizando tanto instalaciones preexistentes como nuevas de la herramienta RMM ScreenConnect para descargar más binarios en los dispositivos afectados: en un caso, un infostealer; en el otro, otra herramienta RMM legítima.

Encontramos evidencia de esta campaña desde abril de 2025, aunque la mayor parte de la actividad maliciosa parece haber tenido lugar entre octubre y noviembre de 2025. En total, identificamos más de 80 organizaciones afectadas, ubicadas principalmente en EE. UU., en múltiples sectores.

Durante nuestra investigación, descubrimos que otros investigadores habían detectado lo que parece ser una campaña similar. Nuestra investigación valida y confirma algunos de esos hallazgos.

En el momento de escribir este artículo, algunos de los enlaces de phishing que observamos durante nuestra investigación parecen seguir activos, lo que sugiere que la campaña podría estar en curso.

Sophos rastrea este grupo de actividad maliciosa como STAC6405.

Lee el artículo completo en inglés aquí.

Sobre el autor

Vidura Ehalapitiya

Frankie Franko

Marcus Jacobson

Pratik Gujar

Pratik Gujar works remotely from Nagpur, India's "Tiger Capital," as an MDR Threat Analyst for Sophos. With a particular emphasis on Linux security, he is a professional in directing incident investigations, threat hunting, and proactive threat mitigation across customer environments. Pratik graduated from Madras University with an M.Sc. in information security and digital forensics.

Outside of work, Pratik is a badminton enthusiast, When he is not at his desk or on the court, you will find him out on a hiking trail, exploring nature and recharging for the next challenge.

Mallikarjuna Kanike