Microsoft ha implementado nuevas protecciones en Windows para defender contra ataques de phishing que abusan de archivos de conexión Remote Desktop (.rdp), añadiendo advertencias y deshabilitando recursos compartidos riesgosos por defecto. Estos archivos RDP maliciosos se han convertido en un vector de ataque preferido por grupos avanzados de amenazas persistentes (APT), como el ruso APT29, para robar credenciales y datos sensibles de forma remota. Las actualizaciones acumulativas de abril de 2026 para Windows 10 y Windows 11 incorporan estos mecanismos de seguridad, que analizamos en detalle desde una perspectiva de ciberinteligencia.
Puntos clave
- Microsoft ha introducido advertencias educativas y de seguridad al abrir archivos RDP por primera vez.
- Los recursos locales, como unidades de disco o el portapapeles, están deshabilitados por defecto en conexiones iniciadas desde estos ficheros.
- El sistema verifica la firma digital del archivo y alerta si el editor no es de confianza.
- Estas protecciones no afectan a las conexiones establecidas mediante el cliente nativo de Escritorio Remoto de Windows.
- Los administradores pueden desactivar temporalmente las advertencias mediante una clave del Registro, aunque no se recomienda.
¿Qué son los archivos RDP y por qué representan una amenaza?
💡 ¿Tu empresa estaría preparada ante un ataque real? En Iberia Intelligence realizamos simulaciones de phishing personalizadas: campañas que replican ataques reales, miden la exposición humana de tu organización y forman a tu equipo para identificar y neutralizar este tipo de engaños antes de que causen un incidente real.
Los archivos de configuración de conexión Remote Desktop (.rdp) son elementos comunes en entornos empresariales, ya que permiten a los administradores preconfigurar parámetros para acceder a sistemas remotos de manera eficiente. Sin embargo, esta utilidad legítima se ha visto secuestrada por ciberatacantes. Cuando un usuario abre un archivo RDP manipulado, su equipo se conecta de forma silenciosa a un servidor controlado por el actor malicioso. Este puede redirigir recursos locales, como discos duros o el portapapeles, hacia el dispositivo remoto, facilitando el robo de ficheros, contraseñas e incluso mecanismos de autenticación como Windows Hello o tarjetas inteligentes. archivos RDP maliciosos es clave para entender el alcance de esta amenaza.
El abuso por parte de grupos APT como APT29
Según medios especializados, el grupo de ciberespionaje ruso APT29 (también conocido como Cozy Bear o Midnight Blizzard) ha empleado archivos RDP fraudulentos en campañas de phishing dirigidas. Su modus operandi consiste en enviar estos ficheros adjuntos en correos electrónicos aparentemente legítimos. Al ejecutarlos, la víctima establece una conexión directa con la infraestructura del atacante, que pasa a tener acceso completo a los recursos compartidos. Esta técnica permite el exfiltración de datos y credenciales sin necesidad de malware adicional, lo que complica su detección por soluciones de seguridad tradicionales.
Las nuevas protecciones de Microsoft contra archivos RDP maliciosos
Con las actualizaciones KB5082200 para Windows 10 y KB5083769 junto a KB5082052 para Windows 11, Microsoft despliega un sistema de defensa en dos fases. La primera vez que un usuario abre un archivo .rdp, Windows muestra un mensaje educativo que explica los riesgos asociados a este tipo de conexiones. Tras aceptar la advertencia, el sistema no volverá a mostrar ese prompt inicial. En todos los intentos posteriores, se presentará un cuadro de diálogo de seguridad antes de establecer cualquier conexión. Este diálogo detalla la dirección del sistema remoto, si el archivo está firmado digitalmente y enumera todos los recursos locales que podrían redirigirse, dejándolos desactivados por defecto.
El cuadro de diálogo educativo y de seguridad
El nuevo mecanismo actúa como una barrera de consentimiento informado. Para conexiones no firmadas, Windows muestra una alerta clara: «Precaución: Conexión remota desconocida» y etiqueta al editor como no verificado. Si el archivo posee una firma digital válida, el sistema mostrará la información del publicador, pero aún así recomendará verificar su legitimidad antes de proceder. Esta capa de advertencia obliga al usuario a tomar una decisión consciente, mitigando los ataques que dependen de la ejecución automática o desatendida.
Cómo funcionan las advertencias para archivos firmados y no firmados
La verificación de la firma digital es un pilar central de estas protecciones. Cuando un archivo RDP no está firmado, Windows lo trata con máxima sospecha, bloqueando automáticamente cualquier redirección de recursos locales y mostrando advertencias prominentes. En el caso de archivos firmados, aunque la interfaz sea más permisiva, el sistema sigue deshabilitando por defecto opciones como el acceso a unidades locales, el portapapeles o dispositivos conectados. El usuario debe marcar manualmente cada recurso que desee compartir, un paso que añade fricción suficiente para disuadir la mayoría de los ataques automatizados.
Limitaciones y configuración de las protecciones
Es crucial entender que estas medidas solo se aplican a conexiones iniciadas mediante la apertura directa de un archivo .rdp. Las conexiones establecidas a través del cliente de Escritorio Remoto de Windows (mstsc.exe) no están cubiertas por estas advertencias. Para entornos controlados, los administradores pueden desactivar temporalmente las protecciones modificando la clave del Registro HKLM\Software\Policies\Microsoft\Windows NT\Terminal Services\Client y ajustando el valor RedirectionWarningDialogVersion a 1. No obstante, dada la historia de abusos con archivos RDP, desde Iberia Intel recomendamos mantener estas defensas activas en todos los escenarios.
Recomendaciones para administradores y usuarios finales
Desde un punto de vista de ciberinteligencia, interpretamos esta actualización como un reconocimiento por parte de Microsoft de la creciente sofisticación de los ataques que aprovechan herramientas nativas del sistema. Para las organizaciones, es imperativo desplegar estas actualizaciones de seguridad lo antes posible y formar a los empleados sobre los riesgos de abrir archivos adjuntos inesperados, incluso si parecen técnicamente legítimos. Los equipos de seguridad deben monitorizar los intentos de conexión RDP no autorizados y considerar la implementación de políticas de grupo que restrinjan el uso de archivos .rdp no firmados en la red corporativa.
Recursos y fuentes oficiales:
¿Sabrían tus empleados detectar un ataque de phishing real?
En Iberia Intelligence diseñamos simulaciones de phishing y campañas de concienciación a medida. Identificamos qué equipos y perfiles son más vulnerables y reducimos el riesgo de brecha por error humano.