Herramientas RMM: lista de seguridad para ConnectWise
Las herramientas RMM permiten mantener y administrar equipos de forma remota. Si los atacantes obtienen credenciales o explotan una vulnerabilidad en el servidor de administración, pueden poner en riesgo varios entornos conectados. Los incidentes de ConnectWise ScreenConnect y SimpleHelp muestran el alcance que pueden tener estos accesos. Una lista de verificación ayuda a controlar los permisos, las actualizaciones y la actividad.
Lo esencial en breve
- Los accesos de mantenimiento remoto son un objetivo de ataque. Los atacantes abusan de credenciales, vulnerabilidades o software de acceso remoto instalado posteriormente.
- Un incidente puede afectar a los clientes. Un acceso comprometido de un proveedor puede abrir a los atacantes el camino hacia los entornos conectados.
- Los accesos necesitan varias capas de protección. La MFA, los permisos limitados, las actualizaciones puntuales y la supervisión de los registros forman parte de esa protección.
Por qué resultan atractivos los accesos RMM
La monitorización y administración remotas, conocidas como RMM por las siglas de Remote Monitoring and Management, ayudan a los equipos y proveedores de TI a supervisar y administrar sistemas remotos. Según el producto y su configuración, permiten distribuir actualizaciones, ejecutar comandos o iniciar sesiones de asistencia.
Los atacantes pueden hacerse con accesos existentes o introducir sus propios programas de mantenimiento remoto. La alerta conjunta de CISA, la NSA y el MS-ISAC también describe programas RMM portátiles que permiten acceder en el contexto de un usuario local sin una instalación completa ni derechos de administrador.
Por tanto, el nombre de un programa legítimo por sí solo no demuestra que su uso esté autorizado. Para evaluarlo cuentan, entre otros factores, la cuenta de usuario, el sistema de destino, el momento y las acciones ejecutadas.
Qué muestran ScreenConnect y SimpleHelp
ConnectWise ScreenConnect: La vulnerabilidad CVE-2024-1709, publicada en 2024, permitía eludir la autenticación en servidores vulnerables. ConnectWise le asignó una puntuación CVSS de 10,0 y proporcionó una corrección con la versión 23.9.8. El fabricante también publicó versiones corregidas para instalaciones anteriores. Para la operación deben tenerse en cuenta los avisos de seguridad actuales del fabricante.
SimpleHelp: En 2025, CISA informó de un incidente de ransomware en un proveedor de software de facturación para empresas de servicios públicos. Los atacantes aprovecharon instancias de SimpleHelp sin parchear. Según la agencia, probablemente utilizaron la vulnerabilidad de recorrido de rutas CVE-2024-57727 para acceder a los clientes del proveedor. El caso muestra por qué los proveedores también deben conocer el alcance de sus accesos de mantenimiento remoto.
Lista de seguridad para herramientas RMM
Las siguientes medidas se basan en la guía de CISA para software de acceso remoto y deben adaptarse al producto y al modelo operativo.
- 1. Elaborar un inventario. Documentar los productos RMM autorizados, los servidores, los agentes, las cuentas y los sistemas de clientes conectados. Eliminar las instalaciones innecesarias e investigar los programas de acceso remoto desconocidos.
- 2. Proteger las cuentas. Activar la MFA para las cuentas de mantenimiento remoto y administración. Utilizar métodos resistentes al phishing cuando el producto los admita. Evitar las cuentas compartidas y limitar los permisos a las tareas y los sistemas necesarios.
- 3. Restringir los accesos. Permitir el acceso a las interfaces de administración únicamente a las personas autorizadas y desde las redes necesarias. La segmentación de la red y los controles de acceso limitan los sistemas a los que se puede llegar mediante un acceso.
- 4. Priorizar las actualizaciones. Seguir los avisos del fabricante e instalar sin demora las actualizaciones de seguridad de servidores y agentes. En caso de vulnerabilidades críticas, comprobar también si la instalación ya ha sufrido un ataque.
- 5. Supervisar la actividad. Registrar los inicios de sesión, las sesiones, los cambios en las cuentas y las acciones administrativas. Investigar las direcciones de origen y los horarios inusuales, así como los programas no autorizados.
- 6. Implicar a los proveedores. Acordar las responsabilidades relativas a las actualizaciones, los registros y la notificación de incidentes. Comprobar periódicamente a qué entornos de clientes puede acceder una cuenta de proveedor.
Actuar ante una sospecha de uso indebido
El equipo de respuesta a incidentes debe restringir el acceso afectado conforme a su propio plan de emergencia y conservar los registros pertinentes. Después debe comprobar qué cuentas, sesiones y sistemas conectados podrían estar afectados.
Una actualización corrige una vulnerabilidad, pero no elimina automáticamente los accesos ajenos ya establecidos. Por ello, antes de reanudar el servicio también deben investigarse las cuentas, la configuración y los sistemas afectados.
Preguntas frecuentes
Cada pregunta está cerrada. Toca para mostrar la respuesta.
¿Qué programas de mantenimiento remoto se han utilizado indebidamente en ataques?
CISA describe, entre otros, el uso indebido de ScreenConnect y AnyDesk. En el caso de SimpleHelp, la agencia documentó un incidente con instancias sin parchear.
¿Cómo se detecta el uso indebido de RMM?
Un inventario actualizado ayuda a encontrar programas desconocidos. Los registros de inicio de sesión y de sesiones muestran, por ejemplo, accesos en horarios inusuales o desde direcciones de origen inesperadas. Las anomalías deben evaluarse en el contexto de cada entorno operativo.
¿Basta con un parche después de un ataque?
No. Un parche corrige la vulnerabilidad en cuestión. Las cuentas ya creadas, los ajustes modificados u otros accesos pueden seguir existiendo y deben investigarse.
Selección editorial
RecomendadoBrecha de Seguridad de Identidad: Lo que Zero Trust no protege y cómo cerrarlaRecomendadoNube: 10 fallos de seguridad críticos en AWS y AzureRecomendadoSeguridad de la IA Agente: Cuando los agentes de IA se convierten en objetivo de ataque
Más de la red MBF Media
MyBusinessFutureAuge ciberseguridad: NIS2 impulsa industria alemana de seguridadDigital ChiefsServicios de Ciberseguridad Gestionados: El CISO no asume la responsabilidad exclusivacloudmagazinSeguridad en la cadena de suministro de contenedores
Más de la red MBF Media
- Auge de la ciberseguridad: NIS2 como motor de crecimiento
- Servicios gestionados de seguridad: el CISO no es el único responsable
- Seguridad de la cadena de suministro de contenedores: proteger las cadenas de suministro de TI
Fuente de la imagen: generada por IA (November 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
