Un grupo denominado DragonForce aprovechó tres vulnerabilidades críticas del software RMM SimpleHelp para comprometer a un proveedor de servicios gestionados (MSP). Los atacantes accedieron a múltiples organizaciones y desplegaron ransomware con el objetivo de extorsionar a sus víctimas.
Vulnerabilidades explotadas
Las vulnerabilidades explotadas fueron divulgadas en enero de 2025. CVE-2024-57727 es un ataque de path traversal que permite descarga de archivos de configuración con hashes y secretos. CVE-2024-57726 es una escalada de privilegios que permite pasar de técnico con pocos permisos a admin completo. CVE-2024-57728 es una carga arbitraria de ficheros que permite ejecución remota de código en el servidor.
Impacto y alcance
Todas las instalaciones de SimpleHelp ≤ 5.5.7 (Windows, Linux y macOS) son vulnerables a esta campaña. El proveedor publicó la versión 5.5.8 en enero de 2025.
Acciones oficiales
La CISA añadió CVE-2024-57727 a su catálogo KEV el 13-feb-2025 para forzar la mitigación en sistemas federales.
Táctica de doble extorsión
El ataque incluye una táctica de doble extorsión con implantación de ransomware y robo de datos.
Riesgos asociados
- Compromiso completo del servidor RMM y de todos los clientes gestionados.
- Implantación de ransomware y robo de datos para extorsión múltiple.
- Elevados costes operativos y reputacionales para el MSP y sus clientes finales.
Mitigaciones recomendadas
- Actualizar inmediatamente a 5.5.8 o posterior.
- Restringir el acceso a la consola RMM por IP/VPN y deshabilitar la exposición pública del endpoint «/allversions».
- Revisar logs en busca de descargas sospechosas de serverconfig.xml y de instaladores SimpleHelp no autorizados.
- Aplazar EDR/XDR en los clientes para detectar ejecución anómala de scripts o binarios con nombres aleatorios de tres letras.
- Cambiar todas las credenciales de técnicos y aplicar MFA en la administración de SimpleHelp.