El proceso de ransomware es un recorrido complejo de varias etapas que puede tomar semanas. Aprender a reconocer los comportamientos que conforman cada paso es esencial para distinguir la actividad administrativa normal de la actividad sospechosa que se hace pasar por ella.

1. Acceso inicial

En lugar de intentar entrar mediante exploits técnicos que consumen mucho tiempo o ataques de fuerza bruta ruidosos, los actores de amenazas se enfocan cada vez más en iniciar sesión con credenciales válidas. La ingeniería social sigue siendo un recurso habitual para el acceso inicial, mientras que la IA se usa cada vez más para crear mensajes de phishing muy convincentes y altamente personalizados.

En otros casos, los atacantes compran credenciales robadas en la dark web. Si una herramienta de acceso remoto, como el protocolo de escritorio remoto (RDP), está expuesta directamente a internet sin VPN ni autenticación multifactor (MFA), un atacante con credenciales robadas puede acceder a ese endpoint con facilidad.

2. Evasión de defensas

Una vez que los atacantes están dentro, trabajan para asegurarse de que no los descubran. Lo hacen secuestrando herramientas legítimas del sistema (por ejemplo, Windows Management Instrumentation [WMI], PowerShell) e inyectando código malicioso en procesos legítimos en ejecución. Este enfoque, conocido como living off the land (LotL), disfraza la actividad del hacker (desactivar herramientas de detección, borrar registros del sistema) como actividad legítima.

Otro enfoque sofisticado es "bring your own vulnerable driver" (BYOVD), en el que los atacantes colocan y cargan un controlador legítimo, firmado digitalmente, con una falla de seguridad conocida. Explotan esta vulnerabilidad para desactivar EDR, ocultar su actividad y recolectar credenciales.

3. Persistencia

Para garantizar el acceso a largo plazo incluso después de reiniciar el sistema, los atacantes usan mecanismos de persistencia. Suelen inyectar scripts maliciosos en tareas programadas o modificar las claves de registro "Run" para ejecutar malware cada vez que un usuario inicia sesión. También pueden crear nuevas cuentas de administrador en caso de que se revoquen sus credenciales principales.

4. Escalada de privilegios

El punto de acceso inicial de un atacante suele tener permisos limitados, a nivel de usuario. Para moverse por la red y acceder a servidores sensibles, deben escalar sus privilegios a niveles de administrador o SYSTEM. Lo hacen usando herramientas como Mimikatz para recolectar las credenciales de cada usuario que haya iniciado sesión recientemente en esa máquina. Si comprometen por completo el controlador de dominio, pueden usar Active Directory (AD) para obtener "las llaves del reino".

5. Descubrimiento y movimiento lateral

Una vez que un atacante tiene derechos de administrador, puede mapear el entorno para identificar objetivos de alto valor, como servidores de respaldo, bases de datos financieras y propiedad intelectual sensible. Se mueven lateralmente por la red usando Server Message Block (SMB) o RDP para mezclarse con el tráfico normal.

6. Preparación y exfiltración de datos

En la mayoría de los ataques modernos, los atacantes exfiltran datos sensibles en silencio antes de cifrarlos, lo que permite una doble extorsión si la víctima tiene copias de seguridad confiables. Antes de exfiltrar los datos, los atacantes los mueven a un área central de preparación para comprimirlos. Desde ahí, pueden subirlos a la cloud o a sus propios servidores.

7. Cifrado e impacto

Dado que el cifrado es la etapa más visible de un ataque de ransomware, los actores de amenazas suelen esperar hasta después del horario laboral o durante los días feriados para lanzar sus cargas útiles. Esto aprovecha el hecho de que los equipos de TI y seguridad de muchas organizaciones estarán fuera de línea o con poco personal durante esos períodos.

Antes de implementar el cifrado, los atacantes suelen eliminar las copias de seguridad locales para que las víctimas no puedan restaurar fácilmente sus datos. Luego cifran los archivos y dejan la nota de rescate exigiendo el pago a cambio de la clave de descifrado y la promesa de no filtrar los datos robados.

La verdad incómoda sobre los ataques de ransomware es que las señales de la brecha inicial y de la actividad previa al cifrado suelen estar presentes en los registros durante semanas, pero se pierden entre el ruido de las operaciones rutinarias.

Actividad administrativa sospechosa tratada como rutina

Como los atacantes "viven de la tierra", su actividad puede parecerse a la de un administrador de TI. Un equipo de TI ocupado podría ignorar un inicio de sesión desde una dirección IP inusual si usa una cuenta de administrador válida. Si sus herramientas no están bien configuradas, pueden pasar por alto actividad posterior, como el borrado de registros.

Falta de visibilidad entre señales de endpoint e identidad

No contar con un stack de seguridad unificado puede crear brechas de visibilidad que los atacantes aprovechan. Por otro lado, un stack integrado que incluya una herramienta como la gestión de eventos e información de seguridad (SIEM) puede correlacionar señales de todo el entorno, conectando los puntos entre señales que de otro modo se tratarían como actividad aislada y de baja prioridad. En organizaciones más grandes, los equipos de seguridad también pueden generar brechas al operar en silos, cuando el "equipo de identidad" y el "equipo de endpoints" no coordinan sus esfuerzos.

Exceso de confianza solo en las copias de seguridad

Las copias de seguridad son una parte esencial de una defensa de ransomware por capas. Si bien ayudan a las organizaciones a recuperarse si ocurre lo peor, no son una solución infalible. Los atacantes modernos buscan específicamente los archivos de copia de seguridad y los eliminan antes de cifrar los datos. Seguir la regla de respaldo 3-2-1 puede proteger contra esto; sin embargo, no evitará que los atacantes roben y amenacen con filtrar datos o extorsionar a empleados y socios.

Abuso de herramientas legítimas

El antivirus tradicional (AV) es una primera capa de defensa esencial, pero se enfoca en el malware conocido y suele ser ciego ante técnicas como LotL. Para detectar actores más sofisticados que usan malware polimórfico, personalizado o malware sin archivos, las organizaciones necesitan monitorear comportamientos (por ejemplo, un lector de PDF que abre PowerShell). Esto requiere una herramienta como la Detección y respuesta para endpoints (EDR).

La clave para defenderse del ransomware es pasar de una estrategia centrada únicamente en la prevención a una basada en la resiliencia y la contención rápida.

Reduce las rutas de acceso inicial

Empieza por abordar las vulnerabilidades más comunes. En el entorno de TI descentralizado de hoy, la identidad es el nuevo perímetro. Refuerza las cuentas expuestas externamente aplicando MFA en todas partes. La gestión de la postura de seguridad de identidades (ISPM) también puede monitorear riesgos relacionados con la identidad, como configuraciones incorrectas y cuentas inactivas.

Dado que la explotación de vulnerabilidades va en aumento, las organizaciones deben adoptar un ritmo agresivo de parcheo para los dispositivos perimetrales (VPN, firewalls, etc.) así como para los endpoints. La gestión de la postura de seguridad de endpoints (ESPM) permite controlar qué aplicaciones están permitidas y bloqueadas, y expone parches de seguridad faltantes y configuraciones riesgosas.

Con el “elemento humano” jugando un papel en el 60% de las brechas, la capacitación continua en concientización de seguridad administrada (SAT) es esencial para abordar la susceptibilidad de los empleados al phishing.

Detecta el movimiento lateral rápidamente

Reducir el tiempo de permanencia es el objetivo principal de la defensa contra ransomware. El tiempo de permanencia medio para ataques que no son revelados por el actor de amenazas es de 24 días. Durante ese tiempo, los atacantes se enfocan en datos de alto valor para exfiltración y cifrado. Los equipos de seguridad deben apuntar a reducir esa ventana de días a minutos adoptando herramientas de monitoreo de comportamiento como EDR que pueden detectar patrones inusuales, como el volcado de credenciales y el escaneo de redes.

Mantén el monitoreo continuo

El monitoreo continuo en todo el entorno no es negociable. Un SIEM actúa como el centro de comando central, reuniendo registros de toda la organización para brindar una imagen unificada. Esto permite correlacionar señales sutiles para detectar ataques “hands-on-keyboard” que herramientas individuales podrían pasar por alto. También asegura que se conserve un rastro forense si los registros se sobrescriben o un atacante borra registros en un endpoint, aplicación o dispositivo de red.

Las herramientas automatizadas solo pueden hacer tanto. Los atacantes humanos sofisticados requieren defensores humanos para una detección y respuesta efectivas. Un centro de operaciones de seguridad (SOC) disponible 24/7 asegura que los expertos en seguridad estén listos para investigar, contener y remediar amenazas rápidamente, sin importar cuándo ataquen.

Huntress es una plataforma unificada diseñada para ayudar a defenderte en cada etapa del ciclo de vida del ransomware. A diferencia del software puramente automatizado que los atacantes humanos pueden evadir, Huntress cuenta con el respaldo de un equipo de expertos disponible 24/7 para detectar y contener amenazas a tiempo.

• Managed ISPM y ESPM monitorean continuamente identidades y endpoints en busca de debilidades y exposición para que puedas corregirlas antes de que los atacantes las encuentren.

• Managed EDR monitorea anomalías de comportamiento para detectar técnicas living-off-the-land y otras técnicas sofisticadas, permitiendo una detección y contención rápidas.

• Managed ITDR monitorea cuentas en la cloud y on-prem en busca de abuso de credenciales o escalamiento de privilegios inusual, y permite deshabilitar cuentas automáticamente.

• Managed SIEM correlaciona la telemetría de todo el entorno para revelar cadenas de ataque complejas. Reduce los falsos positivos y la fatiga de alertas con un filtrado inteligente que capta solo datos relevantes para la seguridad.

• Managed SAT convierte a los empleados en la primera línea de defensa con capacitación basada en inteligencia de amenazas del mundo real y modelos de aprendizaje para adultos. Nuestro SAT usa contenido atractivo y narrativo para garantizar una alta retención y una reducción medible del riesgo.