Hola, soy del departamento de TI. Instale AnyDesk y le solucionaremos algo ahora mismo

Los ataques que implican llamadas de phishing han vuelto a captar la atención de los especialistas en ciberseguridad. Esta vez, se ha activado el grupo conocido como Luna Moth, también llamado Silent Ransom Group. Su objetivo es obtener acceso a los sistemas internos de organizaciones legales y financieras en Estados Unidos, seguido de extorsión mediante la amenaza de filtrar datos. La nueva ola de ataques comenzó en marzo de 2025 y demuestra un alto nivel de ingeniería social sin el uso de malware.

El escenario del ataque se basa en la suplantación del soporte técnico. Las víctimas reciben correos electrónicos con instrucciones para llamar supuestamente al departamento de TI corporativo. Tras realizar la llamada, los atacantes convencen a las víctimas de instalar software legítimo de control remoto en el ordenador, como AnyDesk, Atera, Syncro, Zoho Assist, Splashtop y otros. Estos programas están firmados digitalmente y no generan alertas en las soluciones de seguridad. Una vez conectados, los atacantes obtienen acceso directo al puesto de trabajo y pueden explorar el contenido del sistema, discos de red y otros dispositivos en la infraestructura.

Según EclecticIQ, se utilizan dominios similares a los de los verdaderos servicios de soporte para ocultar la actividad. Se han registrado al menos 37 nombres de dominio de este tipo a través de GoDaddy. En la mayoría de los casos, emplean nombres falsos con palabras clave como "helpdesk" o "support", vinculadas a una empresa concreta, lo que permite engañar con éxito al personal de las organizaciones.

Una vez que obtienen acceso a los datos, los atacantes los cargan en sus propios servidores utilizando herramientas como WinSCP y Rclone, y luego envían amenazas a las víctimas exigiendo el pago de un rescate. Si se niegan, prometen publicar la información robada en una página pública de Luna Moth. Según EclecticIQ, los montos exigidos oscilan entre uno y ocho millones de dólares, dependiendo de la importancia y volumen de la información sustraída.

El peligro particular de estos ataques radica en la ausencia de archivos adjuntos maliciosos o enlaces infectados. Toda la interacción ocurre a través de canales legítimos, y la instalación del software la realiza el propio usuario, creyendo recibir asistencia. Este enfoque dificulta seriamente la detección del incidente y exige una revisión de las políticas de seguridad dentro de las empresas. Entre las medidas recomendadas se encuentran el bloqueo de herramientas RMM no utilizadas y la inclusión de dominios de phishing conocidos en listas negras.