Una operación de phishing llamada SeasonalInvite ha estado activa desde enero de 2026, engañando a usuarios de Windows y macOS para que instalen software legítimo de monitoreo y gestión remota (RMM) mediante falsas tarjetas electrónicas (eCards). Esta campaña aprovecha herramientas comerciales firmadas para evadir detección y comprometer dispositivos con acceso remoto.
Por qué importa: El uso de software RMM legítimo en ataques dificulta la detección y aumenta el riesgo de acceso no autorizado a sistemas corporativos.
Lo esencial
SeasonalInvite usa eCards con temas estacionales para atraer víctimas y distribuir instaladores RMM.
Se identificaron 959 dominios usados en correos y resultados de búsqueda manipulados.
Cuatro productos RMM legítimos y firmados fueron abusados: ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya y O&O Syspectr.
Imagen de referencia: InfoSecurity Magazine.
Modus operandi de la campaña SeasonalInvite
La campaña adapta sus señuelos según la época del año, desde temas fiscales y de seguridad social en invierno hasta invitaciones de San Valentín y Pascua. Los usuarios son dirigidos a páginas que imitan el servicio de tarjetas electrónicas BlueMountain, donde tras una breve animación se descarga automáticamente un instalador específico para su sistema operativo.
Antes de llegar a la página final, un sistema de distribución de tráfico (TDS) filtra a las víctimas, lo que permite a los atacantes controlar el flujo y evitar detección masiva.
Abuso de software RMM legítimo para evadir seguridad
Los atacantes usan instaladores genuinos y firmados digitalmente, lo que les permite pasar controles de seguridad convencionales. En Windows, scripts por lotes y VBScript descargan y ejecutan el instalador tras solicitar permiso mediante el control de cuentas de usuario (UAC).
En macOS, se emplea un paquete firmado de Kaseya junto con un archivo de configuración que redirige la inscripción del dispositivo al servidor del atacante, explotando funciones diseñadas para proveedores de servicios gestionados.
Indicadores de uso de inteligencia artificial y alcance de la infraestructura
Las páginas de phishing muestran señales de código generado por inteligencia artificial, como comentarios con emojis y referencias a fragmentos de código combinados. Esto sugiere que los atacantes usan modelos de lenguaje para crear variantes rápidamente y reducir costos.
El sistema TDS parece ser una plataforma compartida que maneja múltiples campañas simultáneamente, con miles de URLs detectadas que pueden parecer benignas para escáneres automáticos pero redirigen usuarios reales.
Impacto y recomendaciones para organizaciones
La sofisticación y el uso de software legítimo dificultan la detección y aumentan el riesgo para empresas y usuarios. Forescout recomienda mantener listas de software aprobado y monitorear instalaciones inusuales de herramientas RMM para mitigar esta amenaza.
Preguntas frecuentes sobre SeasonalInvite
¿Qué es el software RMM y por qué es usado en ataques?
El software de monitoreo y gestión remota (RMM) permite administrar dispositivos a distancia. Los atacantes lo usan para controlar sistemas comprometidos sin levantar sospechas, ya que es software legítimo.
¿Cómo detectan los atacantes a las víctimas potenciales?
Utilizan un sistema de distribución de tráfico (TDS) que filtra y registra información como IP, ciudad y navegador de los visitantes para seleccionar objetivos y evitar detección masiva.
