La remediación de ransomware implica aislar las amenazas, expulsar a los atacantes y eliminar de tus sistemas cualquier cosa que hayan dejado. Lo más importante es cerrarle la puerta de salida al atacante. Ese paso —cerrar todas las rutas que el atacante pueda usar para volver a entrar— es el núcleo de una remediación de ransomware eficaz, y es crucial para asegurarte de que esto no vuelva a ocurrir. Descubre cómo Huntress aborda la remediación de ransomware.

Demasiadas organizaciones centran toda su atención en recuperar archivos de inmediato con soluciones rápidas, como restaurar respaldos en línea. Los atacantes lo saben, así que disfrazan las puertas traseras como procesos del sistema que los llevan directo de vuelta a tu red. Antes de restaurar nada, evalúa y entiende cómo entró el atacante y corrige esas brechas para reforzar tus defensas contra el ransomware.

Si estás manejando la remediación internamente, sigue este proceso de seis pasos para remediar ataques de ransomware y protegerte de otro incidente. También explicaremos cómo los equipos de respuesta a incidentes (IR) pueden ayudar si tu equipo no tiene el tiempo o la experiencia para gestionar la remediación de forma directa.

1. Aísla los sistemas infectados para detener la propagación lateral

Equipos internos

Primero, detén la propagación y minimiza el daño. Desconecta de inmediato los cables Ethernet, apaga el wifi y el Bluetooth, y desconecta los discos duros externos. Mientras algunos sugieren apagar por completo la computadora durante este paso, otros recomiendan dejarla encendida para no perder evidencia en la memoria temporal que ayudaría con el análisis forense.

Luego, deshabilita todas las cuentas comprometidas y bloquea cualquier proceso o infraestructura sospechosa. Activa tus planes de IR y notifica a tu equipo legal.

Firmas de IR

Dependiendo de la firma que contrates, los equipos de IR podrían presentarse en el sitio para gestionar los endpoints afectados, mientras que otros lo harán de forma remota usando software de Detección y respuesta para endpoints (EDR).

Para gestionar las cuentas comprometidas, los equipos de IR suelen terminar las sesiones activas usando software de Detección y respuesta de amenazas a la identidad (ITDR).

2. Identifica la cepa de ransomware y el alcance del impacto

Equipos internos

Averigua con qué tipo de ransomware estás lidiando para entender el alcance potencial del daño. Este diagnóstico es crítico para lo que sigue, así que ten cuidado durante este paso. Ciertos programas, como Anomaly Detection de Rubrik y Dell PowerProtect y PowerStore, ayudan a identificar la cepa revisando los métodos de cifrado, el tráfico de red y los cambios en los archivos. Otra pista es la nota de rescate. Esta suele tener indicios o incluso firmas que revelan quién es responsable de la vulneración.

Firmas de IR

Muchas organizaciones no tienen el tiempo ni la experiencia para hacer este análisis internamente, así que es mejor contratar una firma de IR para que realice una investigación forense adecuada.

Comienza enviando al equipo de IR tu nota de rescate. Con ella, tendrán una idea de quién es responsable y cómo responder. Por ejemplo, tal vez los atacantes son conocidos por usar una táctica de cifrado específica. Los grupos de IR sabrán por dónde empezar al abordarlo.

Luego, normalmente ejecutarán binarios o scripts en un sandbox seguro con un EDR instalado para entender los procesos. Si tu firma de IR puede identificar un patrón, te dirá qué señales buscar, como recibir correos de remitentes sospechosos o adjuntos inesperados.

3. Caza de amenazas para mecanismos de persistencia del ransomware

Equipos internos

Los mecanismos de persistencia mantienen la puerta trasera abierta para los actores de amenazas. En lugar de volver a explotar vulnerabilidades cada vez que quieren entrar, los atacantes pueden simplemente recuperar el acceso a través de sistemas operativos, aplicaciones o cuentas ya comprometidas.

Encontrar estas brechas te acerca un paso más a cerrar la puerta. Revisa si hay señales de alerta comunes como:

• Cuentas de administrador nuevas o inesperadas
• Web shells u otros scripts maliciosos expuestos a la web
• Credenciales almacenadas en caché o extraídas donde no deberían estar
• Herramientas de RMM comprometidas o mal utilizadas
• Tareas programadas, servicios o autoruns sospechosos que lanzan binarios desconocidos
• Puertas traseras disfrazadas de software legítimo

Firmas de IR

Ahora que el equipo de IR sabe qué está buscando, revisará tu red, registros y copias de seguridad para encontrar indicadores de los patrones de ataque que identificaron. Este paso se complica cuando los atacantes usan herramientas integradas como PowerShell para realizar actividades administrativas aparentemente normales.

Registra todo lo que tu equipo de IR aprenda durante la caza de amenazas, y guarda esta información para uso futuro. Si vuelves a sufrir un ataque de ransomware así, sabrás qué hacer. Los expertos en ciberseguridad de Huntress llevan años haciendo caza de amenazas usando Managed EDR y un Centro de operaciones de seguridad impulsado por IA disponible 24/7 (SOC), para que analistas experimentados puedan cazar amenazas de forma continua en tu nombre y ayudarte a adelantarte a las tácticas de los atacantes.

4. Erradica el malware y revoca el acceso no autorizado

Equipos internos

Elimina cualquier cuenta comprometida o no autorizada, y limpia tus sistemas de todo el software malicioso que identificaste. Las herramientas de eliminación de software malicioso (MSRT) pueden detectar y eliminar malware activo, mientras que las plataformas antivirus pueden marcar programas maliciosos que no están actualmente en ejecución.

Firmas de IR

Haz que el equipo de IR ejecute EDR y continúe monitoreando el sistema durante un tiempo para confirmar que no haya evidencia residual de actividad o herramientas del atacante. Una mirada fresca podría detectar algo que se les pasó por alto.

El SOC impulsado por IA disponible 24/7 de Huntress actúa como tu segundo par de ojos, monitoreando y respondiendo a ciberataques las 24 horas. Nuestro equipo supervisa cada fase de la respuesta al ransomware y te guía en la eliminación del ransomware de forma segura antes de que inicies la recuperación.

5. Restaura los datos a partir de copias de seguridad limpias

Equipos internos

Ahora que tu red está libre de ransomware, es momento de comenzar a restaurar los archivos cifrados. Uno por uno, restaura cada dispositivo usando copias de seguridad reforzadas y aisladas (air-gapped) que hayan sido probadas minuciosamente. Después de la recuperación, ese dispositivo está listo para reconectarse a la red, y puedes continuar con el siguiente.

Firmas de IR

Antes de restaurar tus sistemas, los equipos de IR revisarán las copias de seguridad para asegurarse de que sean anteriores al ataque y no hayan sido cifradas durante el incidente. Una vez que los archivos tengan el visto bueno, el equipo restaurará la infraestructura de autenticación, las aplicaciones de negocio principales y cualquier sistema de soporte.

6. Verifica que los sistemas sean seguros antes de volver a producción

Equipos internos

Una vez que hayas recuperado todos los dispositivos afectados, ejecuta una revisión completa del sistema en toda tu infraestructura. Si tu equipo de seguridad tiene la experiencia para seguir monitoreando los sistemas, pídeles que presten especial atención a cualquier cosa que se parezca a los patrones que tu equipo de IR identificó al principio, como credenciales sospechosas apareciendo en cachés o nuevos web shells surgiendo donde no deberían. Luego, aísla de inmediato cualquier cosa sospechosa y empieza de nuevo.

Firmas de IR

Los equipos reducidos podrían necesitar el apoyo de la firma de IR para este paso. Ellos se encargarán de las revisiones del sistema e incluso podrían ejecutar ataques simulados para ver si el stack de seguridad está cumpliendo su función.

Hiciste todo este esfuerzo para limpiar y recuperarte de un ataque de ransomware, pero si no cierras las brechas que el atacante usó para vulnerar tu organización, sigues expuesto a futuros ataques. Los atacantes lo saben y volverán para ver si esas brechas se cerraron y si mejoraste tus defensas.

Una remediación adecuada implica recuperar archivos cifrados, corregir vulnerabilidades y prevenir futuros ataques. Ten en cuenta que las empresas con respaldos adecuados y socios de respuesta a incidentes no deberían pagar el rescate. El pago no garantiza la recuperación de datos y puede ponerte en alto riesgo de volver a ser blanco de ataques.

Aquí tienes algunos consejos sobre cómo protegerte contra el ransomware para evitar volver al punto de partida:

• Elimina herramientas de acceso remoto innecesarias: Revisa todas las herramientas usadas para el trabajo remoto y simplifícalas donde sea posible, eliminando cualquier software redundante o que no sea estrictamente necesario.
• Configura la detección de ransomware: Prueba nuevas estrategias de detección. Una buena opción es Huntress Managed EDR, un servicio de detección gestionada que monitorea continuamente posibles amenazas. Nuestro SOC centrado en IA investiga la posible actividad de ransomware y te ayuda a contenerla rápidamente, reduciendo el tiempo que dedicas a perseguir falsos positivos.

La mayoría de los equipos reducidos no cuentan con los recursos para manejar estos pasos por su cuenta. Por suerte, Huntress Managed EDR detiene a los hackers en seco. Nuestro sistema vigila el abuso de la plataforma, las técnicas cambiantes de los atacantes y el movimiento lateral para proteger los endpoints. El Attack Disruption Engine alerta a nuestro SOC centrado en IA disponible 24/7 ante cada movimiento sospechoso, para que ninguna táctica pase desapercibida.

Cuando llega una alerta, nuestro SOC completa la investigación, inicia la remediación automatizada inicial de la amenaza y te envía un reporte de incidente. Esto limita hasta dónde puede propagarse el ransomware antes de que intervengamos.

Contener la amenaza a tiempo a menudo significa que puedes enfocarte en la remediación y la recuperación en lugar de considerar si pagar el rescate.

Nuestros analistas del SOC, respaldados por la Huntress Managed Security Platform, monitorean constantemente la actividad de los endpoints, el uso de herramientas de monitoreo y gestión remota (RMM) y el comportamiento de los usuarios para prevenir ataques de ransomware siempre que sea posible. Ponemos años de experiencia práctica a trabajar para frustrar los ataques de ransomware.

La remediación del ransomware no durará si no priorizas cerrar el acceso de los atacantes. La seguridad gestionada te da tranquilidad sin sumar más tareas a tu lista. Ya sea que hayas sufrido un ataque de ransomware o simplemente quieras reforzar tus defensas, Huntress ofrece una amplia gama de soluciones para tu organización. Managed EDR es un excelente primer paso.

Inicia una prueba gratis para ver por qué Huntress ha sido reconocida como una solución de EDR y MDR mejor calificada en G2.