ScreenConnect RAT

ScreenConnect RAT (Remote Access Tool) es un software de acceso remoto desarrollado por ConnectWise, diseñado principalmente para permitir a proveedores de servicios técnicos y profesionales de TI controlar y gestionar equipos de forma remota de manera segura y eficiente. Su función principal es facilitar el soporte remoto, la administración de sistemas y la colaboración técnica, permitiendo a los usuarios autorizados visualizar y operar el escritorio de otro ordenador a través de internet. Se caracteriza por ser una herramienta legítima y ampliamente utilizada en entornos corporativos y de asistencia técnica por su facilidad de uso, capacidad de despliegue rápido y robustas funciones de seguridad, como el cifrado de las comunicaciones.

Sin embargo, debido a su potente capacidad para acceder y controlar sistemas de manera no supervisada, ScreenConnect también puede ser abusado por actores malintencionados como un RAT (Remote Access Trojan) cuando es instalado sin autorización. En contextos maliciosos, los atacantes pueden utilizar versiones comprometidas o configuraciones fraudulentas para infiltrarse en sistemas vulnerables, robar información sensible, ejecutar código malicioso o mantener acceso persistente en la red de la víctima. Este doble propósito (herramienta legítima vs. arma de cibercrimen) ha hecho que ScreenConnect sea tanto una solución valorada en el ámbito empresarial como un vector de ataque monitorizado por expertos en ciberseguridad.

Para minimizar riesgos, es fundamental que las organizaciones utilicen solo versiones oficiales y actualizadas, configuren adecuadamente los controles de seguridad (como autenticación multifactor y listas de IP permitidas), y auditen periódicamente su uso. La concienciación sobre el phishing y las descargas no autorizadas también es clave para evitar que esta herramienta sea explotada con fines malintencionados.

Funcionamiento

ScreenConnect (actualmente ConnectWise Control) es una solución de acceso remoto basada en una arquitectura cliente-servidor que opera mediante un modelo de comunicación en dos fases: gestión de sesiones y transmisión de datos interactiva. En su núcleo, el sistema se compone de tres elementos principales: el servidor central (On-Premise o Cloud), el cliente de invitación (temporal o de instalación persistente) y la consola de gestión del técnico. El servidor actúa como un broker de conexiones, utilizando protocolos estándar web (HTTP/HTTPS) sobre puertos personalizables (por defecto, 8040/TCP para HTTP y 8041/TCP para HTTPS) para orquestar el handshake inicial y mantener el estado de las sesiones. La autenticación se realiza mediante un mecanismo de tokens de sesión únicos y efímeros, generados criptográficamente para cada conexión, los cuales se intercambian durante el proceso de handshake TLS 1.2/1.3, asegurando confidencialidad e integridad mediante cifrado AES-256-GCM.

El flujo operativo se inicia cuando el cliente objetivo ejecuta un archivo ligero (generalmente un .EXE o .MSI de ~10 MB) que contiene un runtime autoextraíble basado en .NET Framework (o .NET Core en versiones recientes). Este cliente establece una conexión HTTPS saliente persistente y bidireccional con el servidor mediante WebSockets sobre TLS, evitando así problemas comunes con firewalls (por usar puertos 443/HTTPS). Una vez autenticado, el cliente inicia el servicio de captura de interfaz gráfica (GDI/DXGI en Windows, Quartz en macOS, X11 en Linux) que codifica los framebuffers del sistema en tiempo real utilizando códecs de compresión como H.264/AVC o VP8 para streaming de video, optimizando el ancho de banda mediante técnicas de diff-regional (solo transmite áreas modificadas de la pantalla). Paralelamente, se instancian canales virtuales (Virtual Channels) multiplexados sobre la misma conexión WebSocket para la transmisión de eventos de I/O (teclado, ratón, dispositivos USB redirigidos), audio (bidireccional mediante códec Opus) y transferencia de archivos (con compresión LZ4 y cifrado por sesión).

A nivel de sistema, el cliente se ejecuta con privilegios de usuario estándar o elevados (dependiendo de la configuración UAC), implementando hooks a nivel de kernel (Windows Driver Framework) para capturar eventos de interacción incluso en sesiones seguras (WinLogon). La arquitectura incluye un sistema de plugins modular que permite extender funcionalidades como gestión de parches, inventario de hardware, scripting remoto (PowerShell, Bash) y monitorización de procesos. Para persistencia, puede registrarse como servicio Windows (svchost.exe) o daemon LaunchD en macOS, con mecanismos de autoreparación que verifican la integridad del binario mediante firmas digitales. En escenarios de uso malicioso (RAT), atacantes suelen ofuscar el binario, modificar los C2 (Command & Control) para apuntar a servidores comprometidos, e inyectar código en procesos legítimos (process hollowing en explorer.exe) para evadir detección por EDR/AV, aprovechando que la herramienta está firmada digitalmente por ConnectWise y su tráfico se asemeja a conexiones HTTPS legítimas.

La defensa contra su uso malicioso requiere análisis de comportamiento (conexiones WebSocket anómalas, creación de servicios no autorizados), monitorización de registros de instalación (EventLog 7045 en Windows) y herramientas de detección basadas en YARA para identificar configuraciones maliciosas en memoria. La versión legítima incluye capacidades de auditoría granular, autenticación multifactor (MFA) y registro de eventos cifrados (log4net) para cumplir con normativas como GDPR o HIPAA.

Impacto y consecuencias

Impacto Técnico Inmediato y Compromiso del Sistema

Cuando ScreenConnect es explotado como RAT, el impacto inicial se manifiesta en la compromisión completa de la confidencialidad, integridad y disponibilidad (CID) del sistema objetivo. El atacante obtiene un control interactivo a nivel de sesión de usuario o kernel, dependiendo de los privilegios escalados, permitiendo:

• Exfiltración de datos: Acceso directo a volúmenes de almacenamiento, memoria RAM (mediante dumping de procesos como lsass.exe para extraer credenciales con herramientas tipo Mimikatz), y registros de configuración. Los canales de transferencia de archivos multiplexados sobre WebSockets permiten la exfiltración silenciosa de grandes volúmenes de datos, camuflada como tráfico HTTPS legítimo.
• Persistencia avanzada: Modificación de registros de arranque (claves HKLM\Software\Microsoft\Windows\CurrentVersion\Run), creación de servicios Windows (sc.exe), instalación de puertas traseras secundarias (backdoors en módulos de kernel no firmados) o implementación de persistencia mediante WMI Event Subscription (__EventFilter, __EventConsumer), lo que permite la re-ejecución del RAT ante eventos específicos como reinicios.
• Movimiento lateral: Utilización de las capacidades nativas de scripting de ScreenConnect (PowerShell, Python) para ejecutar comandos remotos (PsExec, WMI), descubrimiento de red (nmap, NetSessionEnum), y robo de tickets Kerberos (golden/silver ticket attacks) en entornos Active Directory. El RAT actúa como pivote para desplegar cargas útiles adicionales como ransomware o botnets.

Consecuencias a Nivel de Arquitectura y Seguridad Perimetral

La presencia del RAT compromete los mecanismos de defensa en profundidad:

• Bypass de controles de seguridad: Al utilizar conexiones WebSocket/TLS 1.3 con certificados válidos (a menudo robados o auto-firmados), evade firewalls de capa de aplicación y sistemas de inspección DLP (Data Loss Prevention). Su tráfico se confunde con el de herramientas legítimas de soporte remoto, generando falsos negativos en herramientas SIEM sin reglas de comportamiento avanzadas.
• Deshabilitación de defensas: Scripts automatizados pueden desactivar EDR/AV mediante modificación de registros (TamperProtection en Windows Defender), eliminación de hooks en ntdll.dll, o uso de drivers vulnerables firmados (Bring Your Own Vulnerable Driver - BYOVD) para cargar código malicioso en espacio de kernel.
• Compromiso de la cadena de suministro: En ataques dirigidos, los servidores ScreenConnect legítimos de proveedores de TI pueden ser comprometidos para redirigir conexiones a infraestructura maliciosa (ataques Man-in-the-Middle en el broker de conexiones), afectando a múltiples clientes simultáneamente.

Impacto Operacional y Económico a Largo Plazo

Las consecuencias tras la detección del compromiso implican:

• Costos de remediación crítica: Necesidad de forense digital completa (análisis de imágenes de memoria, logs de eventos Windows 4688/5140, capturas de tráfico de red) para determinar el alcance del acceso. Esto incluye la reconstrucción de la línea de tiempo de ataque (MITRE ATT&CK) y la identificación de activos comprometidos.
• Paradas prolongadas de sistemas: La contención obliga al aislamiento de segmentos de red (microsegmentación Zero Trust), restablecimiento de credenciales de dominio (krbtgt, cuentas de servicio), y reinstalación limpia de sistemas críticos (bare-metal recovery), causando interrupciones operativas significativas.
• Sanciones regulatorias y daño reputacional: Violaciones de normativas como GDPR, HIPAA o PCI-DSS pueden resultar en multas de hasta el 4% del volumen de negocios global. La exposición pública del incidente erosiona la confianza de clientes y socios, especialmente si se demuestra negligencia en la gestión de parches (ej. CVE-2024-1709 en ScreenConnect) o falta de segmentación de red.
• Pérdida de propiedad intelectual: Robo de algoritmos, planos de ingeniería o datos de investigación patentados, lo que puede alterar el equilibrio competitivo en sectores estratégicos como defensa, farmacéutica o tecnología.

Origen y motivación

El origen de ScreenConnect como herramienta legítima se remonta a su desarrollo inicial por parte de ConnectWise como un software comercial de acceso remoto seguro y eficiente, diseñado para proporcionar soporte técnico y administración de sistemas en entornos empresariales; sin embargo, su motivación como RAT (Remote Access Trojan) en contextos maliciosos surge de la apropiación por parte de actores de ciberamenazas —desde cibercriminales hasta grupos APT— que, aprovechando su funcionalidad nativa, facilidad de despliegue y capacidad para evadir detecciones básicas (al estar firmado digitalmente y usar protocolos estándar como TLS/WebSockets), lo readaptan para infiltrarse en sistemas objetivo, estableciendo acceso persistente, robando datos sensibles, facilitando movimientos laterales en redes y desplegando cargas útiles adicionales como ransomware, motivados principalmente por el espionaje industrial, el lucro económico o la interrupción operativa de organizaciones víctimas.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.