Los hackers de ransomware apuntan a software de monitoreo de empleados para acceder a computadoras

En resumen

• Las herramientas de software de monitoreo en el lugar de trabajo están siendo objetivo de hackers de ransomware, según la firma de ciberseguridad Huntress.
• Un nuevo informe encontró que los actores de amenazas combinaron software de monitoreo de empleados con herramientas de gestión remota para obtener persistencia en los sistemas de las empresas.
• El uso generalizado de ‘bossware’ ha ampliado la superficie de ataque potencial para las empresas.

Una herramienta popular de monitoreo de fuerza laboral está siendo atacada por hackers y utilizada como punto de apoyo para ataques de ransomware, según un nuevo informe de la firma de ciberseguridad Huntress. A finales de enero y principios de febrero de 2026, el equipo de Respuesta Táctica de Huntress investigó dos intrusiones en las que los atacantes combinaron Net Monitor for Employees Professional con SimpleHelp, una herramienta de acceso remoto utilizada por los departamentos de TI.

TL;DR 📌 Los ciberdelincuentes convirtieron el software de monitoreo de empleados en un RAT, lo emparejaron con SimpleHelp, buscaron criptomonedas y trataron de desplegar Crazy ransomware.

Los valientes éticos detrás de este artículo: @RussianPanda9xx, @sudo_Rem, @Purp1eW0lf, + @Antonlovesdnbhttps://t.co/3c6qbD7l3g

— Huntress (@HuntressLabs) 13 de febrero de 2026

Según el informe, los hackers usaron el software de monitoreo de empleados para acceder a los sistemas de la empresa y SimpleHelp para asegurarse de poder permanecer allí incluso si se cerraba un punto de acceso. La actividad finalmente llevó a un intento de despliegue de Crazy ransomware. “Estos casos resaltan una tendencia creciente de actores de amenazas que aprovechan software legítimo y comercialmente disponible para camuflarse en entornos empresariales”, escribieron los investigadores de Huntress. “Net Monitor for Employees Professional, aunque se comercializa como una herramienta de monitoreo de fuerza laboral, ofrece capacidades que rivalizan con los troyanos de acceso remoto tradicionales: conexiones inversas a través de puertos comunes, suplantación de nombres de procesos y servicios, ejecución de shell incorporada y la capacidad de desplegarse silenciosamente mediante mecanismos estándar de instalación de Windows. Cuando se combina con SimpleHelp como un canal de acceso secundario… el resultado es un punto de apoyo resistente y dual que es difícil de distinguir del software administrativo legítimo.” La compañía agregó que, aunque las herramientas puedan ser novedosas, la causa raíz sigue siendo la exposición de perímetros y una higiene débil de identidad, incluyendo cuentas VPN comprometidas. El auge del “bossware” El uso del llamado “bossware” varía a nivel mundial, pero es muy extendido. Alrededor de un tercio de las empresas del Reino Unido utilizan software de monitoreo de empleados, según un informe del año pasado, mientras que en EE. UU. la cifra se estima en aproximadamente un 60%.

El software se despliega comúnmente para rastrear la productividad, registrar actividades y capturar capturas de pantalla de las pantallas de los trabajadores. Pero su uso es controvertido, al igual que las afirmaciones sobre si realmente mide la productividad de los empleados o si en cambio evalúa según criterios arbitrarios como clics del ratón o correos electrónicos enviados. No obstante, su popularidad hace que estas herramientas sean un vector atractivo para los atacantes. Net Monitor for Employees Professional, desarrollado por NetworkLookout, se comercializa para el seguimiento de la productividad de los empleados, pero ofrece capacidades más allá de la monitorización pasiva de pantallas, incluyendo conexiones de shell inverso, control remoto del escritorio, gestión de archivos y la capacidad de personalizar nombres de servicios y procesos durante la instalación.  Esas funciones, diseñadas para un uso administrativo legítimo, pueden permitir a los actores de amenazas camuflarse en entornos empresariales sin desplegar malware tradicional. En el primer caso detallado por Huntress, los investigadores fueron alertados por una manipulación sospechosa de cuentas en un host, incluyendo esfuerzos por desactivar la cuenta Guest del sistema y habilitar la cuenta de Administrador integrada. Se ejecutaron múltiples comandos “net” para enumerar usuarios, restablecer contraseñas y crear cuentas adicionales. Los analistas rastrearon la actividad hasta un binario vinculado a Net Monitor for Employees, que había generado una aplicación de pseudo-terminal que permitía la ejecución de comandos. La herramienta descargó un binario de SimpleHelp desde una IP externa, tras lo cual el atacante intentó manipular Windows Defender y desplegar varias versiones de Crazy ransomware, parte de la familia VoidCrypt. En la segunda intrusión, observada a principios de febrero, los atacantes ingresaron mediante una cuenta VPN SSL comprometida de un proveedor y se conectaron vía Protocolo de Escritorio Remoto a un controlador de dominio. Desde allí, instalaron el agente de Net Monitor directamente desde el sitio web del proveedor. Los atacantes personalizaron los nombres de servicios y procesos para imitar componentes legítimos de Windows, disfrazando el servicio como relacionado con OneDrive y renombrando el proceso en ejecución. Luego instalaron SimpleHelp como un canal persistente adicional y configuraron disparadores de monitoreo basados en palabras clave dirigidos a billeteras de criptomonedas, intercambios y plataformas de pago, así como otras herramientas de acceso remoto. Huntress afirmó que la actividad mostraba claras señales de motivación financiera y evasión deliberada de defensa.

Network LookOut, la empresa detrás de Net Monitor for Employee, dijo a Decrypt que el agente solo puede ser instalado por un usuario que ya tenga privilegios administrativos en la computadora donde se va a instalar. “Sin privilegios administrativos, la instalación no es posible”, afirmó por correo electrónico. “Por lo tanto, si no desea que nuestro software se instale en una computadora, asegúrese de que no se otorgue acceso administrativo a usuarios no autorizados, ya que el acceso administrativo permite la instalación de cualquier software.” No es la primera vez que hackers intentan desplegar ransomware o robar información mediante bossware. En abril de 2025, investigadores revelaron que WorkComposer, una app de vigilancia laboral utilizada por más de 200,000 personas, había dejado expuestos más de 21 millones de capturas de pantalla en tiempo real en un bucket de almacenamiento en la nube sin seguridad, lo que potencialmente filtraba datos sensibles de negocios, credenciales y comunicaciones internas.