Ya ningún endpoint está libre de la amenaza del ransomware, desde empresas con presupuestos de seguridad limitados hasta grandes agencias gubernamentales cubiertas de capas de soluciones de seguridad. Todo es terreno fértil para los atacantes. Los actores de amenazas están aplicando cifrado en sistemas críticos y exigiendo pagos de rescate elevados donde pueden. O peor aún, ataques de doble extorsión: cifrado y exfiltración de datos confidenciales para presionar aún más a las víctimas.
En Huntress, les damos malos días a los atacantes de ransomware desde el primer día. Pero para lograrlo, primero debemos saber cómo operan para poder detenerlos antes de que caiga el ransomware. Creamos el Antes de que ataque el ransomware: el playbook, que desglosa las etapas clave de un ataque de ransomware y estrategias importantes para protegerte. Aquí, destacamos hallazgos clave del eBook que elevarán tu nivel de defensa contra los ataques de ransomware.
Ransomware: una introducción rápida
El ransomware es un tipo de software malicioso (malware) diseñado para impedir que los usuarios accedan a sus archivos, sistemas o redes. Los atacantes exigen un rescate en criptomoneda a cambio de una "clave de descifrado" para deshacer el desorden que crearon en tu entorno.
Figura 1: Ejemplo de un escenario de cifrado de ransomwareComo estos ataques son organizados por delincuentes, no hay ninguna garantía de que recuperes tus datos o de que se mantengan privados si pagas el rescate. Confiar en que los hackers actúen de buena fe nunca es un plan de seguridad confiable. Tus finanzas, la reputación de tu marca, el cumplimiento normativo que tanto te costó lograr, y más, pueden estar en peligro más rápido de lo que parpadea el cursor en tu pantalla.
Los actores de amenazas saben que el ransomware golpea más fuerte que otros tipos de ciberataques y usan su alta visibilidad como palanca de presión.
Figura 2: Extracto de una nota de rescate de INC. Fuente.Lo mejor que puedes hacer es enfocarte en la prevención para evitar estos ataques por completo. Para mostrarte a qué nos referimos, revisa este análisis detallado de un ataque de ransomware que nuestro Centro de operaciones de seguridad (SOC) logró frenar.
Figura 3: Ejemplo de los pasos previos a un ataque de ransomware ¿Cuánto tiempo pasa antes de que ataque el ransomware?
La respuesta corta es el viejo dicho de seguridad de siempre: "¡Depende!". Pero hay algunas cosas que vale la pena considerar al pensar en cuánto tiempo le toma al ransomware comprometer un objetivo.
Lo que hacen los hackers en el entorno de un objetivo antes de un ataque depende mucho de su meta final. Cuando se trata de extorsión o espionaje, los atacantes suelen tomar un camino más largo hacia el objetivo, moviéndose entre sistemas, recopilando información confidencial y robando datos. Pero si solo quieren llevarse el dinero y desaparecer, usan menos acciones con una estrategia que prioriza la velocidad sobre la complejidad.
En el Informe de ciberamenazas 2025 de Huntress (2025 Cyber Threat Report), compartimos nuestro análisis de las 48 horas previas a los ataques de ransomware para ver cómo planearon los atacantes. En promedio, vimos que los atacantes dieron 18 pasos antes de soltar el ransomware, lo que incluyó varias etapas del marco MITRE ATT&CK: escalada de privilegios, movimiento lateral, ejecución de scripts, descarga de herramientas adicionales y carga de archivos. La acción más común antes de soltar el ransomware fue la exfiltración de datos, lo que resalta una tendencia creciente y alarmante de extorsión de datos.
Figura 4: Porcentajes de actividades previas a eventos de ransomware en 2024Las etapas principales de un ataque de ransomware
No hay forma de predecir con exactitud qué harán los hackers antes de un ataque de ransomware, pero interrumpirlos temprano en la ventana de tiempo hasta el rescate (Time-to-Ransom, TTR) es una estrategia de seguridad probada. El TTR es el tiempo que necesitan los atacantes para pasar del acceso inicial a desplegar el ransomware en un sistema vulnerable. Según el 2025 Cyber Threat Report, grupos de ransomware como INC y Akira solo necesitan de seis a ocho horas de TTR. Esto no es nada de tiempo, lo que subraya la importancia de la prevención en las primeras etapas del ransomware.
Veamos las etapas clave para que sepas cómo detectar las primeras fases de un ataque de ransomware.
Figura 5: Pasos desde la selección de víctimas hasta el despliegue del payloadPaso 1: Selección de víctimas
Esto también se conoce como la "fase de reconocimiento" de un ataque de ransomware. Los atacantes buscan su próximo objetivo vulnerable que valga la pena. Este paso es importante porque define las siguientes etapas previas al despliegue del ransomware.
Paso 2: Obtención del acceso inicial
Ahora que se identificó el objetivo, los atacantes actúan con rapidez para obtener acceso y encontrar datos confidenciales que cifrar. Aquí hay dos formas en que vemos que los atacantes hacen esto:
- Tácticas dirigidas: Los atacantes usan credenciales compradas o robadas para obtener acceso no autorizado a sistemas disponibles públicamente. Si se topan con controles de acceso que bloquean más avance, roban credenciales de usuarios de alto nivel para evadir las restricciones.
- Tácticas de "disparo masivo": Estas dependen de la confianza humana y de descuidos para engañar a las víctimas y hacer que hagan clic en enlaces sospechosos o compartan información confidencial.
Figura 6: Distribución de los vectores de acceso inicial según el equipo de Respuesta Táctica de Huntress. Fuente.Paso 3: Mantenimiento del acceso
Los atacantes no son ingenuos. Saben que su acceso puede desaparecer en cualquier momento: se restablece una contraseña o una actualización de software los expulsa. Se mueven despacio y con método para evitar ser detectados mientras preparan un plan de respaldo para mantener acceso persistente al entorno objetivo.
Lo inquietante aquí es que suelen usar herramientas legítimas para mezclarse con el tráfico de red, lo que dificulta la detección. Hacen todo lo posible por pasar desapercibidos mientras se acercan a lanzar el payload del ransomware.
Paso 4: Implementación del payload
Aquí es cuando el ransomware empieza a propagarse como fuego en toda la red. Los atacantes bloquearán todo lo que les dé mayor beneficio: servidores de datos, sistemas de correo local, controladores de dominio y más. Al igual que en etapas anteriores, los atacantes pueden usar herramientas maliciosas o secuestrar software legítimo para comprometer a sus objetivos.
Figura 7: Ejemplo de Huntress detectando las tácticas de un atacante de ransomware
Figura 8: Ejemplo de una nota de rescate de Akira. Fuente.Detener el ransomware: es más fácil de lo que crees
Adelantarte al ransomware no es tan difícil como parece. Si te comprometes con un plan sólido de prevención de seguridad, el ransomware no será una amenaza constante y latente.
Aquí tienes algunos consejos prácticos para mantener a los atacantes de ransomware fuera de tu negocio:
Ayuda a tu equipo a mantenerse alerta
No dejes a tu equipo a oscuras frente a las ciberamenazas. Asegúrate de que reconozcan actividad sospechosa si y cuando llegue a sus máquinas. Usa security awareness training mensual para que todos estén alineados en los esfuerzos de defensa.
Deja que los expertos se encarguen de lo difícil
Para detectar el ransomware a tiempo, busca soluciones de ciberseguridad combinadas con un SOC impulsado por personas disponible las 24 horas, los 7 días de la semana, como:
- Managed EDR (Detección y respuesta para endpoints)
- Managed ITDR (Managed Identity Threat Detection and Response)
- Managed SIEM (gestión de eventos e información de seguridad)
En resumen sobre el ransomware
Lamentablemente, el ransomware es un arma predilecta para los hackers maliciosos por sus atractivos márgenes de ganancia. Pero aquí está la buena noticia: con la combinación correcta de capacitación, herramientas y vigilancia, puedes reducir drásticamente la amenaza del ransomware en tu entorno.
Para saber más, descarga Antes de que ataque el ransomware: el playbook y el Informe de ciberamenazas 2025.
Agenda tu demo de Huntress ahora para priorizar la prevención del ransomware en tu negocio.
