Recenti rapporti del settore hanno rivelato una campagna di phishing che sfrutta strumenti legittimi di RMM e accesso remoto per ottenere accesso non autorizzato ai sistemi delle vittime. Splashtop è stato uno degli strumenti installati dagli attaccanti in questa campagna, ma è importante chiarire che si è trattato di un caso di uso improprio tramite ingegneria sociale, non di una violazione o vulnerabilità in Splashtop.
In questo attacco, i criminali informatici ingannano i destinatari facendoli scaricare software RMM e di accesso remoto. Una volta installato, il software fornisce agli hacker un accesso remoto persistente al sistema, permettendo loro di operare come se fossero amministratori IT autorizzati. Questa tattica consente agli aggressori di bypassare il rilevamento tradizionale di malware e di mimetizzarsi con l'attività di rete legittima.
Questo blog spiegherà come funziona l'attacco, perché gli strumenti legittimi di accesso remoto sono presi di mira e cosa puoi fare per prevenire l'uso improprio nel tuo ambiente.
Come Funziona l'Attacco
Questa campagna di phishing segue una sequenza chiara progettata per ingannare i destinatari facendoli installare strumenti di accesso remoto legittimi sotto il controllo degli aggressori.
1. Consegna di email di phishing
Gli attaccanti inviano email che sembrano provenire da fonti affidabili, come le notifiche di condivisione file di Microsoft OneDrive. Questi messaggi sono inviati da account Microsoft 365 compromessi, aumentando la loro credibilità.
2. Hosting di file dannosi
Il link nell'email indirizza il bersaglio a un installer MSI dannoso ospitato sulla rete di distribuzione dei contenuti (CDN) di Discord. Ospitare il file su un servizio noto aiuta a eludere alcuni filtri di sicurezza.
3. Installazione di strumenti RMM legittimi e strumenti di accesso remoto
Quando eseguito, l'installer distribuisce silenziosamente:
Splashtop Streamer
Atera Agent
Componenti di supporto come .NET Runtime 8
Installare più di uno strumento garantisce la persistenza. Se un'applicazione viene rilevata e rimossa, l'altra può ancora fornire accesso.
4. Accesso e controllo remoto
Con gli strumenti in atto, gli attaccanti possono:
Accedi al sistema da remoto
Spostare file o dati
Eseguire comandi come se fossero personale IT autorizzato
Perché gli aggressori usano strumenti di accesso remoto legittimi
L'accesso remoto e il software RMM sono progettati per aiutare i team IT a gestire in modo sicuro i dispositivi, risolvere problemi a distanza e eseguire aggiornamenti da qualsiasi luogo. Queste stesse capacità li rendono attraenti per gli aggressori quando vengono utilizzati in modo improprio:
Si mimetizza con l'attività normale – Il software è affidabile e spesso già presente in molti ambienti, quindi la sua installazione potrebbe non suscitare sospetti immediati.
Elude il rilevamento tradizionale di malware – Gli strumenti di sicurezza potrebbero non segnalare applicazioni legittime e firmate digitalmente allo stesso modo in cui farebbero con eseguibili sconosciuti.
Concede il pieno controllo del sistema – Una volta installati, questi strumenti offrono lo stesso livello di accesso di un amministratore IT autorizzato.
Garantisce la persistenza – Distribuire più di uno strumento (come visto in questa campagna) consente di mantenere l'accesso anche se uno viene rimosso.
Non Causato da un Difetto del Software
Questo tipo di uso improprio non è causato da una vulnerabilità nel software. Invece, deriva da un'ingegneria sociale riuscita. L'arma più grande dell'attaccante è convincere qualcuno a installare lo strumento per loro, bypassando i normali controlli IT.
Perché l'attacco funzioni, diversi passaggi devono allinearsi:
Un'email di phishing ha persuaso il bersaglio a cliccare su un link dannoso.
La vittima ha scaricato ed eseguito un installer camuffato.
Il software è stato installato senza l'approvazione dell'IT.
L'attaccante si è connesso al software appena installato.
Se uno di questi passaggi viene bloccato, l'attacco fallisce. Ecco perché sono essenziali forti difese contro il phishing, controlli di installazione e misure di sicurezza degli account.
Prevenire l'abuso di Splashtop nel tuo ambiente
Sebbene il software stesso non sia stato sfruttato in questa campagna, le organizzazioni possono adottare misure proattive per rendere molto più difficile per gli attaccanti abusare del software legittimo:
Limita l'installazione del software agli amministratori approvati tramite politiche di gestione degli endpoint.
Educare i dipendenti su come individuare i tentativi di phishing, inclusi i link di condivisione file sospetti.
Ricorda al personale di non scaricare o eseguire installer da email inaspettate, anche se sembrano provenire da fonti interne.
Incoraggia la segnalazione rapida di qualsiasi messaggio sospetto o richiesta di accesso remoto inaspettata.
Combinando queste misure si garantisce che, anche se un'email di phishing passa inosservata, ci siano più salvaguardie che impediscono a un attaccante di ottenere l'accesso.
Come Splashtop Aiuta a Proteggere l'Accesso
Splashtop include funzionalità di sicurezza integrate progettate per dare alle organizzazioni il controllo su chi può connettersi, da dove e a quali condizioni. Quando configurate correttamente, queste capacità rendono molto più difficile per gli attaccanti abusare della piattaforma.
Le principali funzionalità di sicurezza includono:
Autenticazione multifattoriale (MFA) per verificare l'identità dell'utente prima di concedere l'accesso.
Integrazione con l'autenticazione singola (SSO) per il controllo centralizzato degli accessi e l'applicazione delle politiche di autenticazione aziendali.
Controlli di accesso basati sui ruoli che consentono agli amministratori di limitare i permessi in base alla funzione lavorativa.
Autenticazione del dispositivo per garantire che solo le macchine approvate possano connettersi.
Registrazione e registrazione delle sessioni per la visibilità su chi ha avuto accesso a cosa e quando.
Controlli di distribuzione granulari per limitare l'installazione di Splashtop Streamer ai sistemi approvati.
Il Nostro Impegno per la Sicurezza
Splashtop prende la sicurezza sul serio e monitora attentamente i rapporti di minacce informatiche che coinvolgono i nostri prodotti, anche quando l'attività è il risultato di un uso improprio piuttosto che di una vulnerabilità. Crediamo che la trasparenza sia essenziale per mantenere la fiducia con i nostri clienti e partner.
I nostri team di sicurezza e ingegneria valutano continuamente scenari di potenziale abuso, migliorano le capacità di rilevamento e forniscono indicazioni per aiutare i clienti a configurare Splashtop in modo sicuro. Quando emergono nuove informazioni sulle minacce, valutiamo se sono necessarie modifiche alle funzionalità del prodotto, alle impostazioni predefinite o ai materiali educativi per i clienti.
Quando Splashtop è distribuito e gestito da amministratori autorizzati, rimane una piattaforma sicura e affidabile per l'accesso remoto. Combinando le nostre funzionalità di sicurezza integrate con protezioni degli endpoint e formazione sulla consapevolezza degli utenti, le organizzazioni possono ridurre significativamente il rischio di uso improprio.
Esplora i nostri prodotti Splashtop e contattaci per saperne di più sulle nostre soluzioni e sulla sicurezza.
