Misbruk av RMM-verktøy er når angripere bruker legitime verktøy for fjernovervåking og fjernadministrasjon (RMM) og fjerntilgang – den samme programvaren IT-team bruker til å hjelpe brukerne – for å skaffe seg vedvarende tilgang som ser ut som vanlig administrasjon. Huntress fant misbruk av RMM-verktøy i 45 % av de endepunktrelaterte hendelsene selskapet undersøkte i første kvartal 2026, og det gjør det til den vanligste trusselkategorien i dataene deres. Deteksjon er viktig, men den avhenger av noe enklere: å vite hvilke fjerntilgangsverktøy som ligger på hvert endepunkt, og om hvert av dem hører hjemme på enheten der det kjører.
Hvorfor misbruk av RMM-verktøy fungerer
Angripere liker disse verktøyene av de samme grunnene som IT-team gjør. De kjører kommandoer, flytter filer og holder en forbindelse åpen på tvers av omstarter. Og fordi de er legitime, har sikkerhetsverktøyene en tendens til å vinke dem gjennom. I en felles veiledning om sikring av programvare for fjerntilgang påpeker CISA, FBI, NSA og partnerbyråer at programvaren har gyldige kodesigneringssertifikater, ikke alltid utløser antivirus- eller EDR-forsvaret, og ofte ligger i installasjonsstier som teamene unntar fra inspeksjon.
Verktøyene sparer også angriperne for jobben med å bygge sin egen skadevare. Måten en administrator bruker programvare for fjerntilgang på for å hjelpe en bruker, ligner mye på måten en angriper bruker den på for å styre en enhet.
Å få verktøyet inn på en enhet er ofte den enkle delen. Huntress beskriver et tilfelle der en falsk serviceavtale fikk ett fjerntilgangsverktøy inn på en enhet, og angriperen deretter la tre til oppå det. Ett klikk på en phishinglenke ga angriperen fire separate veier tilbake. Huntress rapporterer også at misbruk av RMM-verktøy økte med 277 % i 2025 sammenlignet med året før.
Hvorfor misbruk av RMM-verktøy starter som et inventarspørsmål
Begge kildene starter rådene sine på samme sted. Huntress ber leserne spørre hvilke verktøy for fjernovervåking virksomheten har godkjent, og hva som avslører et verktøy som ikke er godkjent. Det første vertsbaserte tiltaket i CISA-veiledningen er å gå gjennom programvaren for fjerntilgang på enhetene for å finne ut hvilke verktøy virksomheten bruker, og hvilke den har godkjent.
Det er et inventarspørsmål før det er et deteksjonsspørsmål. En virksomhet som ikke kan liste opp fjerntilgangsverktøyene på endepunktene sine, kan ikke skille en angripers verktøy fra sitt eget. Det er lett å ende opp med flere slike verktøy enn noen har planlagt: ett for brukerstøtten, ett som en ekstern leverandør installerte for sin egen support, ett som en avdeling kjøpte på egen hånd, og gamle installasjoner ingen har fjernet.
Slik finner du risikoen for misbruk av RMM-verktøy på alle endepunkter
Skriv ned hva du har godkjent
List opp hvert fjerntilgangsverktøy virksomheten bruker med vilje: produktet, hvem som bruker det, til hva og på hvilke enheter. Ta med verktøyene som leverandører og servicepartnere bruker til å gi support på sine egne systemer. Alle verktøy du senere finner på et endepunkt, og som ikke står på denne listen, er et funn som skal undersøkes, ikke et hull i papirarbeidet.
Søk i inventaret etter hvert kjente verktøy
Søk i programvareinventaret på alle endepunkter etter hvert produkt for fjerntilgang, ikke bare dem dere bruker. CISA-veiledningen lister opp verktøy som angripere har brukt, blant dem ConnectWise Control (tidligere ScreenConnect), AnyDesk, TeamViewer, Splashtop, Atera og NetSupport. Et verktøy på den listen er ikke mistenkelig i seg selv. Det trenger en eier og en grunn.
Sammenlign resultatene med listen
Tre mønstre fortjener en nærmere titt:
- Et verktøy ingen har godkjent. Det forblir et funn til noen kan vise hvem som installerte det, og hvorfor.
- Et godkjent verktøy på feil sted. Et supportverktøy på en bærbar PC i økonomiavdelingen, eller på en server det aldri var ment å nå, må forklares.
- Mer enn ett fjerntilgangsverktøy på samme enhet. Et bytte av supportleverandør kan etterlate to av gode grunner. Undersøk det likevel, særlig når ingen team eier installasjonene, for dette er mønsteret fra Huntress-tilfellet.
Begrens og gjenta
Hold de godkjente verktøyene oppdatert, siden CISA-veiledningen ber virksomheter prioritere patching av programvare som kobler seg til internett eller tar imot forbindelser derfra, blant annet agenter for fjerntilgang. Fjern faste lokale administratorrettigheter for å blokkere installasjonene som krever hevede rettigheter. Gjenta deretter søket etter en fast plan: Et verktøy som dukker opp neste måned, vises ikke i denne månedens gjennomgang.
Vit hva inventaret ikke ser
Et inventar over installert programvare har en blindsone. CISA-veiledningen advarer om at mange fjerntilgangsverktøy også kjører som portable programfiler, som starter uten installasjon og ofte uten administratorrettigheter, og at noen installeres for én enkelt bruker uten hevede rettigheter. Portable verktøy dukker aldri opp i en liste over installerte programmer. Inventaret gir IT et utgangspunkt på tvers av administrerte endepunkter, ikke full dekning, så kombiner det med programkontroll, endepunktdeteksjon og overvåking av kjøring.
Dette gjør du når du finner et fjerntilgangsverktøy som ikke er godkjent
Ikke avinstaller det først. Hvis en angriper har lagt det der, ødelegger du bevisene ved å fjerne det, og du varsler angriperen om at noen har lagt merke til det.
- Sjekk om det har en eier. Spør om et team, en leverandør eller en servicepartner har installert det av en dokumentert grunn. Mange funn ender her.
- Behandle det som en mulig hendelse hvis ingen eier det. Eskaler til sikkerhetsteamet og følg prosedyren for hendelseshåndtering.
- Sikre bevisene og begrens tilgangen. Sammen med sikkerhetsteamet dokumenterer du det du vet om verktøyet og enheten, og kutter verktøyets tilgang slik prosedyren foreskriver.
- Fjern det deretter, og følg med på om det kommer tilbake. Steng tilgangsveien, og sjekk i neste gjennomgang at verktøyet ikke har kommet tilbake.
Beskytt verktøyene du har godkjent
Godkjente verktøy har den samme risikoen når noen stjeler innloggingen. CISA-veiledningen påpeker at angripere også skaffer seg gyldig påloggingsinformasjon til legitim programvare for fjerntilgang og bruker den direkte. Hvert verktøy som kan nå mange endepunkter samtidig, fra brukerstøttens fjerntilgangsverktøy til selve plattformen for endepunktadministrasjon, trenger flerfaktorautentisering og så få kontoer som arbeidet krever.
Slik viser CapaOne hvor fjerntilgangsverktøyene kjører
CapaOne-plattformen for endepunktadministrasjon svarer på inventarspørsmålet på tvers av enhetsparken. I listen over Windows-endepunkter filtrerer IT på et installert program og får alle enhetene som har det, så ett søk per fjerntilgangsverktøy viser hvor det kjører. Lagre søket som et filter, så er den samme kontrollen klar til neste gjennomgang. Åpne et hvilket som helst endepunkt, og programvareinventaret viser den installerte versjonen – detaljen som betyr noe når et godkjent verktøy må oppdateres. Innlegget vårt om oversikt over installert programvare forklarer hvordan inventaret holdes oppdatert, og IT asset management viser det større bildet.
Privilege Manager fjerner faste lokale administratorrettigheter, så installasjoner som krever hevede rettigheter, går via en forespørsel i stedet for å skje av seg selv. Innloggingen til CapaOne går via Microsoft Entra ID, så flerfaktorautentiseringen og innloggingspolicyene virksomheten allerede håndhever, gjelder for den også.
CapaOne erstatter ikke endepunktdeteksjon, og CISA-veiledningen anbefaler overvåking med det. CapaOne viser den delen av svaret som ligger på endepunktene: hvilke fjerntilgangsverktøy som kjører hvor. Listen over godkjente verktøy gir den andre delen: hvem som eier hvert av dem, og hvorfor.
Kjør den første gjennomgangen på din egen enhetspark: Book en demo for en guidet gjennomgang av listen over endepunkter, eller start en gratis prøveperiode og søk etter det første fjerntilgangsverktøyet selv.