Na terça-feira, 6 de outubro, o instituto de segurança SANS ISC divulgou que cibercriminosos têm ampliado o uso de ferramentas de Remote Management & Monitoring (RMM) para conduzir ataques. O alerta segue um relato anterior sobre o uso da ferramenta ScreenConnect e indica que novas soluções estão sendo exploradas pelos atores maliciosos. Segundo o comunicado, a observação foi feita a partir de análises de tráfego de rede e de indicadores de comprometimento coletados em diferentes setores.
Contexto
Desde o início da década, plataformas de gerenciamento remoto têm sido alvo de abusos devido à sua capacidade de acessar sistemas sem presença física. O SANS ISC observou que, após publicar um diário sobre ScreenConnect, a comunidade de ameaças passou a testar outras opções de RMM, ampliando o leque de vetores disponíveis. Essa tendência reflete a busca constante por ferramentas legítimas que ofereçam acesso persistente, facilitando a movimentação lateral dentro de redes comprometidas. Historicamente, vulnerabilidades em softwares de suporte remoto foram exploradas em campanhas de ransomware, e a atual diversificação indica que os invasores estão aprendendo a contornar defesas baseadas em assinaturas.
Impacto
Empresas de diferentes portes têm sentido o efeito direto dessa prática, pois a exploração de RMM permite a instalação de backdoors, exfiltração de dados e controle total de endpoints. Até o momento, não há números consolidados, mas analistas apontam que a diversificação de ferramentas eleva a complexidade das defesas, exigindo monitoramento mais rigoroso de conexões externas e de processos de administração remota. Usuários finais podem experimentar lentidão ou comportamentos inesperados em seus dispositivos, sem perceber a origem do problema. Em setores críticos, como saúde e finanças, a presença de agentes de RMM não autorizados pode comprometer informações sensíveis e interromper operações essenciais.
Detalhes técnicos
Na prática, os invasores comprometem credenciais de administração ou exploram vulnerabilidades conhecidas em softwares de gerenciamento. Uma vez dentro, utilizam recursos de RMM para instalar agentes que mantêm comunicação constante com servidores de comando e controle. Esses agentes costumam operar em segundo plano, mascarando tráfego como atividade legítima de suporte técnico. Quando a ferramenta ScreenConnect foi analisada, os pesquisadores identificaram que o atacante pode criar sessões remotas sem autenticação adicional, contornando políticas de segurança tradicionais. O mesmo padrão tem sido observado em outras soluções, que permitem a execução de scripts, transferência de arquivos e coleta de informações de sistema. Em alguns casos, os agentes são configurados para iniciar automaticamente após reinicializações, garantindo persistência mesmo após tentativas de remoção.
Encerramento
Para mitigar o risco, especialistas recomendam a revisão de políticas de acesso remoto, a aplicação de patches de segurança e a segmentação de redes críticas. Além disso, a adoção de soluções de detecção de comportamento anômalo pode ajudar a identificar atividades suspeitas relacionadas a RMM. Treinamentos regulares para equipes de TI sobre boas práticas de gerenciamento remoto também são apontados como medida preventiva. O SANS ISC continuará monitorando a evolução desse cenário e divulgará novas informações conforme forem obtidas.