Así te roban los datos a través de AnyDesk

El nuevo truco de los cibercriminales: se hacen pasar por técnicos de soporte

para robar tus datos o los de tu empresa

 El grupo de ransomware Mad Liberator aprovecha los movimientos de ingeniería social a los que
hay que prestar atención.

15 de agosto de 2024 – Sophos, líder mundial en soluciones de seguridad innovadoras para derrotar los
ciberataques, comparte hoy detalles de un nuevo grupo de ransomware llamado Mad Liberator en una
publicación titulada No se enoje, sea sabio. El grupo, que apareció por primera vez en julio de 2024,
utiliza una táctica de ingeniería social inusual para obtener acceso al entorno de las víctimas.
Una reciente investigación del equipo de Sophos dedicado a la respuesta a incidentes X-Ops, Mad
Liberator ataca a las víctimas mediante herramientas de acceso remoto, como Anydesk, instaladas en
terminales y servidores, para solicitar acceso y tomar el control del dispositivo. Esta es una herramienta
para controlar y acceder a computadoras de forma remota para soporte técnico, trabajo remoto o
colaborar en proyectos, pero presumiblemente cualquier programa de acceso remoto se adaptaría a los
propósitos de esta organización criminal.
Lo inusual de este enfoque es que los investigadores de Sophos X-Ops no encontraron indicios de
contacto entre el atacante y la víctima antes de que la víctima recibiera un escritorio de conexión de
Anydesk no solicitado.
Una vez que el atacante envía una solicitud de conexión de Anydesk:
• Las víctimas reciben una ventana emergente que les pide que autoricen la conexión. Para los
usuarios cuyas organizaciones utilizan Anydesk, esto puede no parecer inusual
• Una vez que se establece una conexión, el atacante transfiere un binario al dispositivo de la víctima.
Este archivo muestra una pantalla que imita una actualización de Windows; mientras tanto, el
atacante deshabilita la entrada del teclado y el mouse del usuario, lo que lo hace inconsciente (y no
puede detener) de la actividad El atacante está actuando en segundo plano
• Luego, el atacante accede a la cuenta OneDrive de la víctima y utiliza la función Anydesk FileTransfer
para robar y exfiltrar archivos de la empresa, antes de buscar otros dispositivos en la misma subred
que puedan ser explotados
• Si bien la víctima no es consciente de esta operación en segundo plano, el atacante comparte
numerosas notas de rescate en las que anuncia que los datos han sido robados y cómo pagar el
rescate para evitar la divulgación de los archivos robados
¿Qué hacer para protegerse?
Para evitar convertirse en una víctima del grupo de ciberatacantes Mad Liberator u otros
ataques similares, Sophos recomienda seguir estos pasos:

1. Desconfíe de solicitudes de acceso remoto no solicitadas: no acepte conexiones de
herramientas como Anydesk si no ha sido programada previamente.
2. Revise las políticas de seguridad de su organización: asegúrese de que solo personal
autorizado pueda acceder a herramientas de acceso remoto.
3. Mantenga su software actualizado: las actualizaciones regulares pueden cerrar brechas
de seguridad que los atacantes podrían explotar.
4. Utilice soluciones de seguridad avanzadas: herramientas como las que ofrece Sophos
pueden detectar y neutralizar amenazas antes de que causen daño.