Hackers explotan AnyDesk haciéndose pasar por CERT-UA para lanzar ciberataques

Los adversarios frecuentemente aprovechan herramientas legítimas en sus campañas maliciosas. El popular AnyDesk utilitario remoto también ha sido ampliamente explotado por hackers con fines ofensivos. Los defensores cibernéticos han desvelado el uso indebido reciente del software AnyDesk para conectarse a computadoras objetivo, disfrazando los esfuerzos maliciosos como actividad de CERT-UA.

Detectar ciberataques que explotan AnyDesk basado en la investigación de CERT-UA

Los adversarios a menudo explotan herramientas de gestión remota para fines maliciosos. Por ejemplo, el Remote Utilities el software ha sido extensamente utilizado en campañas ofensivas dirigidas a Ucrania. La última alerta de CERT-UA arroja luz sobre el uso indebido de otra herramienta legítima de acceso remoto, AnyDesk, que atrae a las víctimas a aprovechar la herramienta comprometida bajo el falso pretexto de realizar una auditoría de seguridad. La plataforma SOC Prime para la defensa cibernética colectiva cura un conjunto relevante de algoritmos de detección que ayudan a los ingenieros de seguridad a definir qué hosts son utilizados por AnyDesk para minimizar los riesgos de intrusiones. Dado que los adversarios conocen los IDs de AnyDesk y tratan de conectarse a hosts haciéndose pasar por CERT-UA, SOC Prime ofrece el contenido SOC relevante para detectar estas instancias con los IDs, que son potencialmente los objetivos.

Haz clic en el Explorar Detecciones botón para acceder a los elementos de contenido de detección dedicados alineados con el marco MITRE ATT&CK® y mejorados con información de amenazas relevante y metadatos procesables, como cronogramas de ataques, tasas de falsos positivos y recomendaciones de configuración de auditoría. Todas las detecciones también son compatibles con las tecnologías líderes de la industria SIEM, EDR y Data Lake para habilitar la detección de amenazas sin problemas a través de plataformas.

Explorar Detecciones

Uso indebido de AnyDesk: Análisis de Ataque Cibernético

Investigadores de CERT-UA han recibido información sobre múltiples intentos de adversarios de conectarse remotamente a instancias objetivo utilizando la aplicación AnyDesk, supuestamente en nombre de CERT-UA.

Según la investigación, los atacantes envían solicitudes de conexión a través de AnyDesk disfrazadas como una auditoría de seguridad para verificar niveles de protección, reclamando fraudulentamente actuar en nombre de CERT-UA, explotando el logo de CERT-UA y el ID de AnyDesk “1518341498,” que puede variar en diferentes incidentes.

Notablemente, el equipo de CERT-UA puede usar herramientas de acceso remoto, incluyendo AnyDesk, en ciertos casos para ayudar a las organizaciones a proteger sus activos de ciberseguridad. Esto incluye proporcionar actividades para prevenir, detectar y mitigar las consecuencias de los incidentes cibernéticos. Sin embargo, estas operaciones solo se llevan a cabo después de un acuerdo previo a través de canales de comunicación preestablecidos.

En la última campaña maliciosa, los atacantes aplican técnicas de ingeniería social que explotan la confianza y la autoridad. Estos ciberataques que explotan AnyDesk pueden tener éxito si los adversarios tienen acceso al ID de AnyDesk de la víctima y siempre que la computadora afectada tenga el software AnyDesk funcional instalado. Además, esto puede indicar que el ID de AnyDesk objetivo probablemente fue comprometido en otras circunstancias, incluidas la explotación de otros sistemas de los cuales los adversarios autorizaron previamente el acceso remoto.

En la última campaña maliciosa, los atacantes aplican técnicas de ingeniería social que explotan la confianza y la autoridad. Estos ciberataques que explotan AnyDesk pueden tener éxito si los adversarios tienen acceso al ID de AnyDesk de la víctima y siempre que la computadora afectada tenga el software AnyDesk funcional instalado. Además, esto puede indicar que el ID de AnyDesk objetivo probablemente fue comprometido en otras circunstancias, incluidas la explotación de otros sistemas de los cuales los adversarios autorizaron previamente el acceso remoto.

Para reducir los riesgos de explotación de AnyDesk, CERT-UA insta a los usuarios a permanecer vigilantes y garantizar que las herramientas de acceso remoto solo estén habilitadas durante sesiones activas y que cualquier operación que involucre acceso remoto se acuerde personalmente a través de canales de comunicación establecidos. También se recomienda encarecidamente que las organizaciones apliquen una estrategia de defensa proactiva para detectar cualquier rastro de comportamiento sospechoso de manera oportuna. Si las organizaciones dependen de AnyDesk, deben detectar proactivamente los hosts utilizados por este utilitario remoto para minimizar los riesgos de acceso remoto no autorizado. Plataforma SOC Prime para la defensa cibernética colectiva equipa a los equipos de seguridad con un conjunto completo de productos para la defensa cibernética a prueba de futuro, ofreciendo detección avanzada de amenazas, caza de amenazas automatizada e ingeniería de detección guiada por inteligencia para ayudar a las organizaciones a mantenerse siempre un paso adelante de los adversarios.

Contexto MITRE ATT&CK

To gain a deeper context of the latest attacks purportedly acting on behalf of CERT-UA, check out a set of Sigma rules that can help identify hosts leveraging AnyDesk. Relying on MITRE ATT&CK can also improve visibility into behavioral patterns associated with malicious activities involving AnyDesk to impersonate CERT-UA.